Kit de phishing "OS-aware" escolhe o golpe conforme o sistema operacional da vítima
Analistas do KnowBe4 desmontaram um kit de phishing que lê o User-Agent do navegador no instante do clique e decide, em milissegundos, qual ataque aplicar: instalação de ferramenta de acesso remoto disfarçada para usuários Windows, captura isolada de credenciais Apple/Microsoft, ou um fluxo multietapas com operador humano em tempo real para Android/Linux. O detalhe mais grave é o repasse manual de códigos de MFA capturados antes de expirarem, técnica que neutraliza a autenticação por SMS ou aplicativo na maioria dos casos.
O kit foi identificado a partir de um e-mail-isca que imita um alerta de login do iCloud, com número de referência falso e um link que, à primeira vista, resolve para um domínio da própria Apple. Ao investigar a infraestrutura por trás da isca, os pesquisadores encontraram um script PHP que lê a string de User-Agent de cada visitante e, sem qualquer sinal visível para a vítima, decide em qual dos três fluxos de ataque ela vai cair.
Para usuários Windows, o kit entrega um instalador do ScreenConnect renomeado como "DocSend Secure Access Utility", dando ao atacante acesso remoto interativo completo à máquina. Para iPhone e Mac, o tráfego é redirecionado a um domínio externo isolado que replica a tela de login da Apple e da Microsoft 365, separando essa operação do restante da infraestrutura para dificultar a atribuição. Já para Android e Linux, a vítima entra num fluxo de coleta de credenciais em múltiplas etapas com um operador humano acompanhando em tempo real via Telegram — o mesmo backend de comando é reaproveitado para colher acessos de Google, portais de SSO corporativo e até da plataforma de RH Awardco.
A parte mais preocupante é como o kit lida com contas protegidas por autenticação em duas etapas: como há uma pessoa por trás da tela recebendo o código digitado pela vítima, o operador consegue usar esse código na conta real antes que ele expire — um ataque do tipo adversary-in-the-middle que torna inútil o MFA baseado em código único, seja por SMS ou aplicativo autenticador. Para dificultar a detecção automática, o kit ainda encadeia três redirecionamentos, abusando da reputação de um domínio financeiro legítimo, embaralhando o destino final em base64 e aplicando um desafio de antibot que exige movimento de mouse antes de liberar a página.
O sinal mais fácil de reconhecer nesse golpe é a incoerência do próprio pretexto: um alerta de login do iCloud citando um dispositivo Windows é, por definição, suspeito para quem usa Mac ou iPhone. Times de segurança devem bloquear os domínios e o hash do instalador ScreenConnect divulgados na investigação, monitorar tráfego de saída para a API do Telegram e forçar reset de credenciais para quem clicou no link. A recomendação estrutural mais forte é migrar contas de alto risco para chaves de segurança FIDO2, hoje o único método de MFA que um relay adversary-in-the-middle como esse não consegue interceptar.