Mariana Sousa 
Microsoft 365 — Um novo kit de phishing apelidado GhostCode está a tirar partido do fluxo de autorização por códigos de dispositivo do OAuth para roubar tokens e instalar dispositivos controlados por atacantes dentro de ambientes Microsoft 365, transformando um processo concebido para IoT e periféricos numa via de ataque com persistência.
Como o fluxo de códigos é convertido em controlo persistente
GhostCode utiliza o mecanismo de autorização por códigos de dispositivo do OAuth 2.0 para solicitar um código legítimo, depois induz a vítima a introduzir esse código na página de autenticação da Microsoft. A vítima autentica e completa a autenticação multifator sem perceber que os tokens foram emitidos para um dispositivo malicioso.
Após a autenticação, os tokens obtidos permitem aos atacantes registar dispositivos via APIs de gestão — incluindo chamadas a Azure Active Directory, Microsoft Graph e enrolamento no Intune — e automatizar a persistência no tenant.
“Obter um Primary Refresh Token via abuso do código de dispositivo dá aos atacantes essencialmente acesso equivalente a SSO ao ambiente M365 durante a vida útil do PRT — incluindo serviços que não estão explicitamente protegidos por políticas de Conditional Access.” — eSentire
Deteção e recomendações práticas
No cenário observado, os atacantes executaram nove chamadas API bem-sucedidas num período de 78 segundos e registaram três dispositivos aos 28, 53 e 77 segundos após a autenticação. Um dos dispositivos chegou a ser inscrito no Intune e sobreviveu à revogação dos tokens até remoção manual.
Para reduzir o risco, recomenda-se restringir ou desativar o fluxo de códigos de dispositivo para utilizadores que não o necessitem, aplicar políticas de Conditional Access que exijam dispositivos compatíveis e monitorizar padrões como múltiplos registos de dispositivo numa sessão não interactiva e actividade do agente de utilizador python-requests após autenticações por código.
O que acha? Acha que as organizações estão preparadas para detectar este tipo de abuso do fluxo de códigos de dispositivo? Para acompanhar mais, aceda à nossa editoria.
Perguntas Frequentes
Como é que o GhostCode explora o fluxo de códigos de dispositivo para atacar o Microsoft 365?
O Microsoft 365 é alvo do GhostCode ao emitir um código de dispositivo legítimo via OAuth 2.0; o GhostCode convence a vítima a introduzir esse código na página de autenticação, a autenticação multifator é completada e os tokens emitidos são capturados para registar dispositivos e obter acesso persistente ao tenant.
Que credenciais perigosas os atacantes conseguem no Microsoft 365 com este método?
O Microsoft 365 pode ficar exposto a Primary Refresh Tokens (PRT), que foram obtidos na campanha analisada; um PRT oferece, por defeito, 14 dias de validade e pode dar aos atacantes acesso equivalente a SSO ao conjunto de serviços do tenant enquanto durar o token.
Que sinais de compromisso específicos surgiram na campanha contra o Microsoft 365?
Na campanha observada contra o Microsoft 365 registaram-se nove chamadas API em 78 segundos, com três registos de dispositivo aos 28, 53 e 77 segundos; os investigadores também notaram enrolamento no Intune e uso do agente de utilizador python-requests logo após autenticações por código.
Quais medidas concretas podem reduzir o risco deste tipo de ataque no Microsoft 365?
O Microsoft 365 fica mais seguro ao restringir o fluxo de códigos de dispositivo via Conditional Access, desactivar o fluxo para utilizadores sem necessidade e monitorizar o Device Registration Service para múltiplos registos por sessão não interactiva, além de auditar padrões de nomeação de dispositivos.
O que acontece se um dispositivo malicioso for inscrito no Intune dentro do Microsoft 365?
Quando um dispositivo malicioso é inscrito no Intune dentro do Microsoft 365, esse enrolamento pode persistir mesmo após revogação do token, conforme o incidente observado, exigindo a remoção manual do dispositivo do tenant para eliminar a persistência criada pelos atacantes.
