Analistas da ANY.RUN identificaram um aumento significativo em campanhas de phishing que exploram o fluxo de autorização de dispositivo OAuth do Microsoft, com mais de 180 URLs maliciosas detectadas em uma semana. Essa técnica não envolve a extração de credenciais convencional, mas sim direciona as vítimas por meio de páginas de autenticação legítimas do Microsoft, tornando difícil para os centros de operações de segurança (SOCs) detectar a comprometimento.
Detalhes Técnicos
Abuso de OAuth Device Code: Técnica utilizada para roubar contas do Microsoft 365 sem a necessidade de credenciais.
Phishing: Técnica de engenharia social que envolve a criação de mensagens ou sites falsos para obter informações confidenciais.
Autorização de Dispositivo OAuth: Fluxo de autenticação do Microsoft que permite o acesso a contas sem a necessidade de credenciais.
Contexto de Inteligência de Amostra
DOMÍNIO: any.run: Risco de 40/100, com 1 resultado malicioso e 0 suspeito no VirusTotal, e 31 pulse de ameaça no OTX, com TTPs T1003, T1007 e T1012.
Essa análise foi possível graças à inteligência de ameaça em tempo real e à detecção de IOCs (Indicadores de Ameaça) relacionados ao domínio any.run.
