Kit de phishing Greatness ganha suporte a AiTM e phishing de código de dispositivo para burlar MFA
Pesquisadores da ZeroBEC identificaram uma atualização significativa no kit de phishing-as-a-service Greatness, que agora combina ataques adversary-in-the-middle (AiTM) com roubo de token de sessão e phishing de código de dispositivo, mirando contas corporativas do Microsoft 365, Google Workspace, iCloud e Yahoo. A evolução torna o kit capaz de contornar autenticação multifator tradicional, ampliando o risco para organizações que dependem apenas de MFA baseado em senha temporária.
O Greatness já era conhecido desde 2023 como um kit de phishing vendido como serviço para roubo de credenciais corporativas. A novidade reportada agora é a adição de duas técnicas de bypass de MFA que se complementam: ataques adversary-in-the-middle, em que um proxy controlado pelo atacante fica entre a vítima e o serviço legítimo interceptando credenciais e o token de sessão em tempo real, e phishing de código de dispositivo, que explora o fluxo de autenticação “device code” usado por apps sem teclado ou telas limitadas, permitindo gerar e capturar códigos de forma assíncrona, sem precisar manter uma sessão de proxy ativa durante todo o ataque.
Essa dualidade técnica é o que torna o kit “sofisticado”: o operador da campanha escolhe a técnica mais adequada ao alvo e ao contexto, alternando entre velocidade (AiTM, que rouba a sessão já autenticada instantaneamente) e discrição (código de dispositivo, que pode ser plantado e colhido depois). Nos ataques observados, os golpistas ainda se aproveitaram de domínios do RingCentral marcados como confiáveis por soluções de e-mail, o que ajudou os links maliciosos a escapar de filtros antiphishing tradicionais.
O impacto direto é que MFA por si só deixa de ser suficiente: como o AiTM captura o cookie de sessão pós-autenticação, mesmo contas protegidas por segundo fator caem se o usuário completar o login em uma página de proxy. Esse tipo de kit alimenta diretamente fraudes subsequentes como Business Email Compromise (BEC), desvio de pagamentos e movimentação lateral dentro de ambientes corporativos comprometidos.
Para mitigar, o mais eficaz é migrar para métodos de autenticação resistentes a phishing (chaves de segurança FIDO2/WebAuthn, que não são suscetíveis a replay de sessão), auditar e restringir qualquer processo automatizado de allowlisting de domínios, e monitorar logins com tokens de sessão reaproveitados em geolocalizações ou dispositivos inconsistentes.