Ataques ao OAuth com Phishing de Código de Dispositivo

Aviso Legal: Esta habilidade destina-se apenas a testes de segurança autorizados, engajamentos de equipe vermelha e fins educacionais. Phishing de código de dispositivo e concessão de consentimento manipulam usuários reais para autorizar o acesso controlado pelo atacante a identidades corporativas. Execute apenas contra locatários que você possui ou tem autorização explícita por escrito (regras de engajamento) para testar. O uso não autorizado viola o Computer Fraud and Abuse Act e leis equivalentes em todo o mundo.

Visão Geral

O Fluxo de Autorização de Dispositivo OAuth 2.0 (RFC 8628) foi projetado para dispositivos com entrada restrita (smart TVs, ferramentas CLI) que não conseguem apresentar facilmente um login baseado em navegador. Um dispositivo solicita um curto user_code e um device_code, exibe o user_code e um URL de verificação para o usuário, e consulta o endpoint de token enquanto o usuário se autentica em um dispositivo separado e completo. Atacantes utilizam esse fluxo: em vez de uma smart TV, o "dispositivo" é a máquina do atacante. O atacante inicia a solicitação de código de dispositivo, então faz phishing em uma vítima para visitar a página de verificação legítima da Microsoft (https://microsoft.com/devicelogin) e inserir o user_code gerado pelo atacante. Como a vítima se autentica na página de login genuína da Microsoft — completando o MFA — os tokens resultantes são emitidos para a sessão de consulta do atacante. Isso contorna totalmente o MFA: o segundo fator é satisfeito pela vítima, mas os tokens de portador chegam ao atacante (mapeado para MITRE ATT&CK T1528 – Roubo de Token de Acesso a Aplicativo).

A Microsoft Threat Intelligence, Volexity e Proofpoint documentaram um crescimento acentuado no phishing de código de dispositivo até 2025, com atores alinhados à Rússia (rastreados pela Microsoft como Storm-2372) entre os mais prolíficos. O relatório M-Trends da Mandiant destaca de forma semelhante o roubo de tokens OAuth como um vetor principal de acesso inicial na nuvem. Uma técnica intimamente relacionada é a concessão de consentimento ilícita ("phishing OAuth"): o atacante registra um aplicativo multilocatário e engana a vítima para clicar em um /adminconsent ou URL de consentimento do usuário, concedendo ao aplicativo malicioso permissões delegadas do Microsoft Graph (Mail.Read, Files.ReadWrite.All, offline_access) que persistem independentemente de redefinições de senha. Esta habilidade cobre ambos, além da repetição de tokens em serviços do Microsoft 365 usando TokenTactics e validação/mapeamento de acesso com ROADtools.

A propriedade definidora que as equipes vermelhas exploram: tokens de acesso emitidos através do fluxo de código de dispositivo são válidos por aproximadamente 60–90 minutos, mas o token de atualização acompanhante (com escopo offline_access) sobrevive por até 90 dias e pode ser resgatado por tokens novos contra qualquer recurso de primeira parte que o cliente tenha permissão para solicitar — Outlook, SharePoint, Teams, Azure Resource Manager — permitindo acesso duradouro e que sobrevive ao MFA.

Quando Usar

• Durante um engajamento autorizado de equipe vermelha ou de suposta violação visando Microsoft 365 / Entra ID onde engenharia social está em escopo
• Ao validar políticas de Acesso Condicional, aplicação de MFA e controles de proteção de token contra técnicas de phishing reais
• Ao testar se uma organização restringe o fluxo de código de dispositivo OAuth ou bloqueia o consentimento de aplicativos multilocatários não verificados
• Ao demonstrar o risco de bypass de MFA para justificar autenticação resistente a phishing (FIDO2) e controles de vinculação de token
• Ao construir detecções (emparelhado com a habilidade hunting-saas-sso-token-abuse da equipe azul) e você precisa de telemetria realista

Pré-requisitos

• Autorização por escrito / regras de engajamento permitindo explicitamente phishing e roubo de token contra o locatário alvo
• Um canal de entrega de pretexto controlado (infraestrutura de phishing sancionada ou uma caixa de correio de teste interna)
• Host atacante Linux ou Windows com Python 3.8+ e PowerShell 7+
• TokenTactics (PowerShell) e ROADtools (Python) instalados:

  # ROADtools (roadrecon + roadtx) — Dirk-jan Mollema / Outsider Security
  pip install roadtools roadtools_auth
  # roadtx (ROADtools Token eXchange) ships in roadtools_auth
  roadtx --help
  
  # TokenTactics v2 (rvrsh3ll)
  git clone https://github.com/rvrsh3ll/TokenTactics.git
  pwsh -c "Import-Module ./TokenTactics/TokenTactics.psd1"
  

• Familiaridade com tipos de concessão OAuth 2.0, estrutura JWT e escopos do Microsoft Graph

Objetivos

• Iniciar uma solicitação de código de dispositivo OAuth contra o Entra ID usando um ID de cliente de primeira parte
• Entregar um pretexto crível que leve a vítima à página genuína de login de dispositivo da Microsoft
• Consultar o endpoint de token e capturar os tokens de acesso e atualização da vítima

…