Kit de phishing GhostCode mira equipes de vendas e rouba tokens de MFA via device code
Um novo kit de phishing chamado GhostCode inicia o contato através do próprio formulário de contato da empresa-alvo, driblando filtros de e-mail, para depois enviar um link do WeTransfer com um arquivo HTML protegido por senha. O arquivo redireciona a vítima para uma página de phishing de “device code” do OAuth, que rouba um token que já carrega a validação de MFA — tornando a autenticação multifator ineficaz nesse cenário. O alvo preferencial são vendedores, abordados com pedidos falsos de assinatura de NDA.
O relatório da eSentire, replicado pelo blog da KnowBe4, descreve uma cadeia de ataque que inverte a lógica tradicional do phishing: em vez de o golpista enviar o primeiro e-mail malicioso, ele começa preenchendo o formulário de contato público da empresa-alvo com uma pergunta comercial legítima. Isso garante que a primeira mensagem trafegue por canais confiáveis (o sistema de CRM ou notificação do próprio site), escapando de filtros antispam que normalmente barram remetentes desconhecidos, já que a conversa nasce dentro do fluxo esperado de vendas.
Depois de estabelecida essa aparência de legitimidade, o atacante envia um segundo contato — agora por e-mail — com um link do WeTransfer apontando para um arquivo HTML protegido por senha, disfarçado de documento para assinatura (como uma NDA). Ao abrir esse HTML localmente no navegador, a vítima é redirecionada para uma página que imita o fluxo de “device code” do OAuth, mecanismo legítimo usado por aplicativos sem interface de teclado completa (como TVs ou terminais) para autenticar contas Microsoft/Google. O golpe pede que a vítima insira um código em uma página de login real da Microsoft, mas o código foi gerado pelo próprio atacante — assim, quando a vítima autoriza, é a sessão do atacante que recebe o token de acesso.
O ponto crítico, segundo os pesquisadores, é que esse token de device code carrega consigo a reivindicação de MFA já satisfeita: como o usuário completou a autenticação multifator dentro do fluxo genuíno da Microsoft, o token resultante é tratado pelo sistema como totalmente autenticado, mesmo pertencendo à sessão do golpista. Isso significa que organizações que se sentem protegidas por terem MFA habilitado são justamente as mais visadas por esse tipo de kit, porque a defesa que confiam não se aplica a esse vetor específico de roubo de token.
Para mitigar esse risco, equipes de segurança devem restringir ou monitorar o fluxo de autenticação por device code no Azure AD/Entra ID (várias organizações podem desabilitá-lo quando não é usado por necessidade legítima), treinar equipes de vendas para desconfiar de qualquer solicitação de “assinar documento” via link externo de transferência de arquivos, e implementar detecção de anomalias de login baseada em geolocalização e dispositivo, já que o token roubado será usado a partir de uma sessão distinta da da vítima original.