Aumento das Campanhas de Comprometimento de E-mails Empresariais

Os agentes maliciosos estão intensificando as campanhas de business email compromise (BEC) ao combinar *engenharia social* com o uso de serviços legítimos de *arquivo na nuvem*. Tal mudança tem resultado em ataques mais convincentes, que não apenas contornam as proteções de segurança comuns, mas também comprometem a identidade dos usuários empresariais.

A Observação da Microsoft

Desde abril, a Microsoft documentou um aumento nas campanhas que emergiram ao longo dos últimos dois anos, onde atacantes utilizam serviços de compartilhamento de arquivos legítimos como Dropbox, OneDrive, e SharePoint, plataformas comumente utilizadas para colaboração entre equipes.

“A ampla utilização de tais serviços os torna alvos atraentes para agentes maliciosos, que exploram a confiança e familiaridade associadas a esses serviços para entregar arquivos e links maliciosos, evitando frequentemente a detecção pelos sistemas de segurança tradicionais.” – Microsoft Threat Intelligence

Caminhadas dos Atacantes

Os atacantes estão combinando suas táticas com engenharia social, direcionando campanhas a partes confiáveis dentro da rede de um usuário empresarial. Isso possibilita o phishing de credenciais para contas empresariais, que são subsequentemente utilizadas para realizar atividades maliciosas adicionais, como fraude financeira, exfiltração de dados e movimentação lateral em terminais.

O Cenário Típico de um Ataque BEC

Segundo relatos da Microsoft, um cenário de ataque comum se inicia com o comprometimento de um usuário dentro de uma empresa. O agente malicioso utiliza as credenciais dessa vítima para hospedar um arquivo em um serviço de arquivo da organização e compartilhá-lo com o alvo real: outros que estão em uma organização externa e possuem vínculos de confiança com a vítima.

Estratégias de Compartilhamento de Arquivos

Os atacantes fazem uso de Dropbox, OneDrive, ou SharePoint, compartilhando arquivos com acesso restrito ou apenas visualização. Tal abordagem permite evitar sistemas de detecção convencionais e serve como uma plataforma para a captura de credenciais.

Após os arquivos serem compartilhados, o usuário alvo recebe uma notificação automática por e-mail com um link para acessar o arquivo de forma segura. Esta notificação é legítima, assegurando que o e-mail passe por potenciais filtros de segurança que poderiam bloquear uma mensagem suspeita.

Adversário no Meio; Aproveitando Familiaridade

Quando o usuário alvo acessa o arquivo compartilhado, ele é solicitado a verificar sua identidade ao fornecer seu endereço de e-mail. Após isso, um código temporário é enviado para que o usuário possa visualizar o documento. Frequentemente, esse documento se disfarça como uma pré-visualização com outro link que promete permitir a visualização da mensagem, redirecionando, na verdade, o usuário para uma página de phishing do tipo adversary-in-the-middle (AiTM).

Neste cenário, o usuário é incentivado a fornecer sua senha e completar o desafio da autenticação multifator (MFA). O token comprometido pode ser então utilizado pelo agente malicioso para executar a segunda fase do ataque BEC, continuando a campanha de comprometimento.

Detectando Compartilhamento de Arquivos Suspeitos

Diante das sofisticadas campanhas de BEC que não são detectadas por usuários ou sistemas tradicionais de segurança de e-mail, a Microsoft recomenda que as empresas utilizem sistemas de detecção e resposta estendida (XDR) para investigar atividades suspeitas relacionadas a campanhas BEC que utilizam serviços de compartilhamento de arquivos legítimos.

Essas investigações podem incluir a identificação de arquivos com nomes semelhantes ou idênticos que foram compartilhados com diversos usuários. “Validar que o mesmo arquivo foi compartilhado com múltiplos usuários na organização pode apoiar a detecção,” segundo a Microsoft.

Os defensores também podem usar consultas focadas em identidade relacionadas a acessos via VPS ou VPN, ou acessos bem-sucedidos de dispositivos não conformes, para detectar e investigar eventos de login anômalos que podem indicar o acesso a uma identidade de usuário comprometida.

#Segurança #Email #Phishing #BEC #Cibersegurança #Microsoft #EngenhariaSocial #AtaquesOnline

autor ref: Elizabeth Montalbano, Contributing Writer
ref:https://www.darkreading.com/cyberattacks-data-breaches/microsoft-creative-abuse-cloud-files-bec-attacks