AgreeTo o complemento do Outlook que se tornou um kit de phishing e roubou milhares de credenciais

Há alguns dias, foi descoberto um incidente perturbador que mostra até que ponto a cadeia de confiança nas extensões de correio pode ser quebrada quando um projeto fica “órfano”. Um complemento legítimo para o Outlook chamado AgreeTo, criado originalmente para facilitar a programação de reuniões, foi sequestrado e convertido em um kit de phishing que, segundo a pesquisa, chegou a coletar mais de 4.000 credenciais de contas Microsoft, além de dados sensíveis como números de cartão e respostas a perguntas de segurança.

Não se tratou de um erro no Outlook, mas da forma como os add-ins funcionam do Office: Estes 'plugins' são basicamente páginas Web alojadas em servidores do desenvolvedor e são carregadas dentro do cliente da Microsoft. A Microsoft analisa o manifesto do add-in no momento da publicação e assinatura, mas salvo exceções não há um controle contínuo sobre o conteúdo que esse URL serve uma vez que o complemento já está publicado. A documentação oficial explica como estes 'plugins' são integrados e porque o seu conteúdo pode vir de qualquer servidor externo: Isto faz parte da arquitetura do Office Add-ins.

No caso do AgreeTo, o desenvolvedor original publicou o complemento em dezembro de 2022 e utilizou um URL hospedado em Vercel. Com o tempo a aplicação ficou abandonada e o domínio associado a essa implantação ficou disponível para ser reclamado. Um ator malicioso aproveitou essa oportunidade para apontar o URL para um conjunto de páginas desenhadas para enganar o usuário: uma réplica da página de login da Microsoft, uma página para coletar senhas, um script para enviar esses dados para o atacante e um redireccionamento posterior à página legítima para dissimular o roubo.

O mecanismo de exfiltração foi surpreendentemente direto: Os dados roubados foram enviados através da API de bots do Telegram, um canal que os pesquisadores da Koi Security conseguiram localizar e usar para confirmar a escala do ataque. Graças a esse acesso, os analistas aprovaram que os operadores tinham coletado milhares de credenciais e que, além disso, estavam testando ativamente as contas roubadas para verificar sua validade. O relatório técnico da equipe que descobriu o incidente recolhe todos os achados e a análise do kit de phishing: Koi Security: pesquisa de AgreeTo.

A notícia foi coletada por meios especializados que apontaram o alcance e a singularidade do caso: segundo relatos, poderia ser a primeira instância documentada de um complemento malicioso funcionando desde a loja oficial da Microsoft e explorando a confiança implícita que os usuários depositam no marketplace. Entre outras coberturas, BleepingComputer informou sobre a pesquisa e a reação inicial.

Do ponto de vista técnico, o add-in conservava permissões que lhe teriam permitido ler e modificar mensagens (ReadWriteItem). Embora Koi não tenha encontrado provas de que o ator os teria usado para manipular e-mails ou criar regras de reenvio, a mera posse dessas permissões aumenta o risco: uma extensão maliciosa com capacidade de modificar o mailbox poderia roubar informações adicionais ou abrir rotas de persistência em uma conta comprometida.

Como se aproveitou a situação? O fluxo do bobo era simples e efetivo. Quando um usuário abria a extensão na barra lateral do Outlook, em vez de ver a interface de programação esperada, aparecia um formulário que parecia ser a verdadeira tela de autenticação da Microsoft. Ao introduzir credenciais, essas eram enviadas ao servidor controlado pelo atacante e, ato seguido, a vítima era redireccionada à verdadeira página de início de sessão para que o comportamento parecesse legítimo e o usuário não suspeitasse imediatamente.

Os atacantes também demonstraram um padrão: Koi Security aponta que o operador após este kit administra várias coleções de páginas de phishing dirigidas a provedores de serviços, bancos e e-mails web. Isso sugere um modelo de negócio recorrente baseado em kits reutilizáveis que se desdobram onde haja uma oportunidade, e neste caso a oportunidade surgiu porque um complemento aprovado ficou sem manutenção e seu URL foi reclamado.

O que fizeram a Microsoft e os pesquisadores? Os analistas de Koi detectaram a atividade, acederam ao canal de exfiltração e documentaram o alcance do roubo. Após a divulgação, a Microsoft eliminou o complemento da loja. É importante lembrar que a rápida retirada de um add-in não repara automaticamente as contas já comprometidas; por isso a comunicação dos achados e as recomendações aos usuários são críticas nesses casos.

Se você tem a extensão AgreeTo instalada no seu Outlook ou suspeita que a sua conta poderia ter sido afetada, age rapidamente. Primeiro, remove o 'plugin' e muda a senha da sua conta Microsoft. Activa a autenticação multifator (MFA) se ainda não estiver activada: a proteção adicional reduz fortemente a eficácia de credenciais roubadas. A Microsoft explica como funciona o MFA e porque é uma barreira essencial: mais sobre autenticação multifator. Também é conveniente rever a actividade recente de início de sessão, fechar sessões abertas e verificar se existem regras de reenvio ou permissões suspeitos na caixa de correio.

Este caso deixa várias lições claras para usuários e plataformas: Os mercados de extensões devem melhorar os seus controlos contínuos sobre o conteúdo que serve um URL aprovado, especialmente quando esse URL muda de dono ou o desenvolvedor deixa de mantê-la. Para os usuários, a precaução passa por limitar permissões ao estritamente necessário, desconfiar de formulários de login inseridos em sites ou aplicativos que não esperava e usar senhas únicas junto com gestores e MFA. Para os administradores e responsáveis pela segurança, é imprescindível auditar periodicamente as extensões instaladas em ambientes corporativos e aplicar políticas que impeçam a instalação de plugins não verificados pelo departamento de TI.

Se você quer aprofundar os detalhes técnicos do ataque, a pesquisa de Koi Security oferece a análise detalhada do kit e dos indicadores de compromisso. Para entender como funciona a API que os atacantes usaram para exfiltrar dados, a documentação oficial do Telegram sobre bots e sua API esclarece por que esse canal foi escolhido: Telegram Bot API. E se precisar de gerenciar plugins em nível organizacional, a Microsoft dispõe de guias para administradores sobre como controlar e retirar add-ins em ambientes Microsoft 365: Gestão de add-ins na Microsoft 365.

Em suma, o episódio de AgreeTo é um lembrete de que a segurança não termina quando um software é publicado em uma loja oficial: a vigilância contínua, tanto por parte das plataformas como dos usuários, é imprescindível para que o ecossistema de plugins continue a ser útil e seguro. Se você tem dúvidas sobre passos concretos a dar após uma possível exposição, consulta com o suporte oficial ou com sua equipe de segurança e prioriza bloquear o acesso imediato mudando chaves e ativando MFA.