Phishing na Nuvem: Como Plataformas Legítimas Viabilizam AitM

O ecossistema de ameaças digitais evoluiu de forma alarmante: os phishers abandonaram os servidores comprometidos de baixa reputação e passaram a explorar a infraestrutura de nuvem legítima para hospedar suas campanhas. Plataformas como Cloudflare Workers, Vercel, Netlify, GitHub Pages e IPFS tornaram-se arsenais invisíveis para ataques de adversário no meio (AitM), capazes de contornar a autenticação multifator (MFA) e capturar sessões autenticadas em tempo real. De acordo com a análise da Securelist, mais de 224 mil domínios de terceiro nível exclusivos foram bloqueados em um período de 12 meses, evidenciando a escala industrial dessa prática.

O modus operandi: AitM em três estágios

O ataque descrito pela Securelist ilustra a sofisticação técnica empregada pelos criminosos. A campanha utiliza Cloudflare Workers como plataforma de hospedagem e se desdobra em três estágios distintos, cada um com uma função específica na cadeia de infecção.

Estágio 1: Coleta de contatos e evasão de detecção

O vetor inicial é um e-mail de pretexto convincente, como uma solicitação de colega de trabalho para revisar documentos. Ao clicar no link, a vítima é redirecionada para uma página de CAPTCHA falsa hospedada em um site legítimo comprometido. Esse site atua como um retransmissor descartável, atrasando a detecção por parte dos fornecedores de segurança. O objetivo é colher o endereço de e-mail da vítima e filtrar bots, encaminhando apenas usuários humanos para o subdomínio workers.dev. O e-mail é incorporado ao hash da URL, evitando requisições ao servidor do atacante e, portanto, escapando dos sistemas de monitoramento de rede.

Estágio 2: Inicialização de um proxy transparente

No subdomínio workers.dev, a vítima enfrenta um CAPTCHA legítimo, garantindo que um humano real esteja interagindo. Após a conclusão, um service worker é registrado no navegador. Esse script, projetado para PWAs, intercepta todas as requisições de rede da aba. Os atacantes utilizam a biblioteca open-source Ultraviolet para reescrever dinamicamente links e formulários, forçando todo o tráfego — incluindo credenciais da Microsoft — a passar pelo servidor do atacante. O e-mail da vítima é extraído do hash e armazenado no sessionStorage, pré-preenchendo o campo de usuário para aumentar a credibilidade.

Estágio 3: Sequestro de sessão e spoofing de janela

O estágio final combina AitM com a técnica de Browser-in-the-Browser (BitB). Um pop-up falso, visualmente idêntico a uma janela nativa do navegador, exibe uma barra de endereço falsa com URL legítima da Microsoft. Dentro dessa janela simulada, um iframe carrega a interface de login autêntica, roteada pelo proxy reverso. Quando a vítima insere credenciais e código MFA, o proxy intercepta ambos e os tokens de sessão. Após o login, a vítima é redirecionada para uma página de erro genérica, minimizando suspeitas enquanto o atacante assume o controle total da sessão.

Por que plataformas legítimas são o refúgio perfeito?

A escolha por PaaS e redes descentralizadas não é acidental. Esses serviços oferecem vantagens assimétricas para os criminosos:

• Confiança inerente: páginas hospedadas em domínios como workers.dev ou github.io herdam a reputação do provedor, reduzindo a suspeita das vítimas e dos filtros de segurança.
• Planos gratuitos generosos: a criação de contas leva minutos e raramente exige verificação KYC, permitindo que um único operador crie centenas de contas maliciosas.
• Evasão e anonimato: o CDN oculta o IP de origem real, dificultando a atribuição e o bloqueio.
• Subdomínios compartilhados: bloquear o domínio pai causaria danos colaterais a milhões de projetos legítimos, uma limitação explorada pelos atacantes.

Estatísticas de abuso de plataformas em nuvem

Os dados coletados entre agosto de 2025 e julho de 2026 revelam a distribuição do abuso entre as principais plataformas. A tabela abaixo resume os números de domínios de terceiro nível únicos bloqueados:

A predominância do Cloudflare Workers reflete sua facilidade de uso e a ausência de verificações rigorosas de identidade. Esses números subestimam a ameaça real, pois muitos domínios são efêmeros e podem não ser detectados.

A conexão com o smishing: a porta de entrada móvel

O mesmo ecossistema de nuvem que viabiliza AitM também potencializa o smishing — golpes de phishing via SMS. Os criminosos frequentemente usam URLs encurtadas que redirecionam para páginas hospedadas em plataformas legítimas, explorando a confiança do usuário em domínios conhecidos. Um SMS fraudulento pode alegar uma entrega pendente ou uma conta bancária bloqueada, levando a vítima a um site falso que coleta credenciais ou instala malware. A integração entre smishing e AitM é natural: o SMS serve como vetor de entrega do link, e a infraestrutura em nuvem executa o ataque de interceptação.

Para mitigar o risco de smishing, recomenda-se:

• Desconfiar de mensagens que solicitem ações urgentes ou informações pessoais.
• Verificar diretamente com a instituição por canais oficiais antes de clicar em qualquer link.
• Utilizar aplicativos de segurança que filtrem mensagens suspeitas.
• Manter o sistema operacional e os aplicativos atualizados para corrigir vulnerabilidades exploradas por malware via SMS.

Recomendações de defesa corporativa

Diante desse cenário, as organizações precisam adotar uma postura proativa. Algumas medidas essenciais incluem:

• Monitoramento contínuo de domínios: implementar soluções que detectem registros de subdomínios semelhantes aos da marca em plataformas de nuvem.
• Análise comportamental de rede: inspecionar o tráfego para identificar padrões de proxy reverso ou service workers suspeitos.
• Educação dos usuários: treinar funcionários para reconhecer técnicas de BitB e verificar a autenticidade de janelas pop-up.
• Autenticação resistente a phishing: adotar FIDO2 ou outras formas de MFA que não dependam de códigos interceptáveis.
• Resposta a incidentes: ter um plano para revogar rapidamente sessões comprometidas e investigar a extensão do vazamento.

Além disso, é crucial que as empresas monitorem proativamente a dark web e fóruns clandestinos em busca de credenciais vazadas de seus funcionários. A Kzarka oferece uma plataforma avançada de monitoramento de vazamentos de dados e proteção contra roubo de identidade digital, permitindo que organizações e indivíduos verifiquem se suas informações foram expostas e recebam alertas em tempo real. Não espere ser a próxima vítima: acesse a Kzarka agora e verifique se seus dados estão seguros.

Fonte: Securelist – Phishers are hijacking legitimate cloud infrastructure.