Kits de phishing baseados em Evilginx sequestram sessão e driblam MFA em massa
Pesquisadores da Lexfo identificaram três kits de phishing sofisticados, construídos sobre o framework open-source Evilginx, que atuam como proxy 'adversary-in-the-middle' (AiTM) contra logins do Microsoft 365. Ao interceptar a sessão de autenticação em tempo real, os kits capturam cookies de sessão e tokens OAuth, tornando o MFA tradicional ineficaz depois que a vítima autentica normalmente na página falsa.
Diferente do phishing clássico, que só rouba usuário e senha, um kit AiTM baseado em Evilginx se posiciona como um proxy transparente entre a vítima e a página de login real da Microsoft. A vítima interage com a página verdadeira através do kit, então preenche a senha e completa o segundo fator normalmente — só que o kit está no meio, copiando em tempo real o cookie de sessão e o token OAuth gerados após a autenticação bem-sucedida.
Com esse cookie de sessão em mãos, o atacante importa a sessão em seu próprio navegador e assume a conta já autenticada, sem precisar da senha nem do segundo fator novamente — o MFA já foi 'usado' pela própria vítima. Os kits observados também investem pesado na isca: e-mails com HTML personalizado por vítima, anexos dinâmicos em PDF/DOCX/PPTX/ZIP/EML, QR codes, convites de calendário forjados e até áudios de voicemail gerados por IA, além de converter o conteúdo em imagem para escapar de filtros baseados em texto.
Essa técnica escala o mesmo princípio por trás do phishing de credenciais para o roubo de sessões inteiras, o que é particularmente perigoso porque a maioria das políticas corporativas de segurança trata MFA como controle suficiente — e para esse tipo de ataque, não é.
A defesa eficaz não pode depender só de MFA: é preciso monitorar reuso anômalo de token/sessão (mudança de geolocalização, IP ou device fingerprint em uma sessão já autenticada), adotar políticas de MFA resistentes a phishing (como chaves FIDO2/WebAuthn, que não são replicáveis por um proxy AiTM) e reforçar filtros de e-mail com análise de conteúdo dinâmico, já que assinaturas estáticas tendem a falhar contra essas iscas geradas sob medida.