Realizando Detecção de Phishing Adversário-no-Meio (AiTM)

Visão Geral

Ataques de phishing Adversário-no-Meio (AiTM) usam infraestrutura de proxy reverso para se posicionar entre a vítima e o serviço de autenticação legítimo, interceptando credenciais e cookies de sessão em tempo real. Isso permite que os atacantes contornem a autenticação multifator (MFA). Os kits PhaaS (Phishing as a Service) mais prevalentes em 2025 incluem Tycoon 2FA, Sneaky 2FA, EvilProxy e Evilginx. Mais de 1 milhão de ataques PhaaS foram detectados apenas em janeiro-fevereiro de 2025. Esses ataques evoluíram de códigos QR para anexos HTML e arquivos SVG para distribuição de links.

Quando Usar

• Ao realizar avaliações de segurança que envolvam a detecção de phishing adversário no meio.
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados.
• Ao realizar atividades agendadas de testes de segurança ou auditoria.
• Ao validar controles de segurança por meio de testes práticos.

Pré-requisitos

• Políticas de Acesso Condicional do Azure AD / Entra ID.
• SIEM com ingestão de logs de autenticação (logs de entrada do Azure AD).
• Proxy web com inspeção SSL e categorização de URL.
• Solução de Detecção e Resposta de Endpoint (EDR).
• Capacidade de MFA resistente a phishing / FIDO2.

Conceitos Chave

Como o AiTM Funciona

1. A vítima recebe um e-mail de phishing com um link para um domínio controlado pelo atacante.
2. O domínio do atacante executa um proxy reverso que espelha a página de login legítima.
3. A vítima insere as credenciais na página proxy; as credenciais são capturadas em trânsito.
4. O proxy reverso encaminha as credenciais para o serviço de autenticação real.
5. Um desafio de MFA é enviado para a vítima; a vítima completa a MFA na página proxy.
6. O atacante captura o cookie de sessão retornado pelo serviço legítimo.
7. O atacante reproduz o cookie de sessão para acessar a conta da vítima sem MFA.

Principais Kits AiTM (2025)

Indicadores de Detecção

• Autenticação de um IP incomum que não corresponde ao perfil do usuário.
• Reutilização de cookie de sessão de um IP/dispositivo diferente da autenticação.
• Página de login servida por infraestrutura não-Microsoft/não-Google.
• Solicitações de CDN para provedores de autenticação legítimos de domínios de phishing.
• Viagem impossível entre a autenticação e o uso da sessão.

Fluxo de Trabalho

Etapa 1: Implementar MFA Resistente a Phishing

• Implemente chaves de segurança FIDO2 ou Windows Hello for Business para contas de alto valor.
• Configure o Acesso Condicional para exigir MFA resistente a phishing para administradores.
• Habilite a autenticação baseada em certificado sempre que possível.
• Desabilite MFA por SMS e voz para contas privilegiadas.
• O AiTM não consegue interceptar FIDO2 porque a autenticação está vinculada ao domínio de origem.

Etapa 2: Configurar Políticas de Acesso Condicional

• Exija dispositivo compatível/gerenciado para acesso a aplicações sensíveis.
• Bloqueie autenticações de proxies anônimos e nós de saída Tor.
• Aplique o "token binding" para limitar a reprodução de cookies de sessão.
• Configure a avaliação contínua de acesso (CAE) para revogação de tokens em tempo real.
• Implemente políticas de risco de entrada que exijam reautenticação para entradas arriscadas.

Etapa 3: Criar Regras de Detecção AiTM

• Alerte sobre uma entrada seguida por uma sessão de um IP diferente em menos de 10 minutos.
• Detecte autenticações onde o IP do proxy não corresponde à localização esperada do usuário.
• Monitore padrões de viagem impossível no uso da sessão.
• Alerte sobre a criação de regras de caixa de entrada imediatamente após a autenticação (comum pós-comprometimento).
• Detecte o registro de um novo método de MFA a partir de uma entrada suspeita.

Etapa 4: Monitorar o Proxy Web em Busca de Infraestrutura AiTM

• Registre e analise consultas DNS para domínios recém-registrados.
• Detecte conexões para IPs de infraestrutura PhaaS conhecidos.
• Alerte sobre páginas de autenticação carregadas de CDNs legítimas através de domínios proxy.
• Monitore certificados SSL emitidos para domínios que imitam páginas de login corporativas.
• Bloqueie o acesso à infraestrutura conhecida de EvilProxy/Evilginx por meio de inteligência de ameaças.

Etapa 5: Implementar Detecção Pós-Comprometimento

• Alerte sobre regras de encaminhamento de caixa de correio criadas após autenticação suspeita.
• Detecte o consentimento de aplicativos OAuth após a entrada AiTM.
• Monitore padrões de envio de e-mail que indiquem acompanhamento de BEC (Business Email Compromise).
• Alerte sobre download em massa do SharePoint/OneDrive após sequestro de sessão.

…