Nova Cookies: serviço AitM que rouba sessões da Microsoft 365 e Okta

Pesquisadores de segurança comunicaram a existência de uma ferramenta de phishing de tipo adversary-in-the-middle (AitM) chamada Nova Cookies que atua como um proxy para redireccionar login da Microsoft 365 e capturar sessões autenticadas em tempo real. De acordo com o relatório compartilhado pela firma Island, Nova Cookies é comercializado como um serviço de assinatura (aproximadamente 320 USD por mês) e já teria sido usado contra centenas de organizações nos Estados Unidos, Reino Unido, Canadá, Alemanha, Israel e Emirados Árabes Unidos.. A assinatura Proofpoint, por sua vez, avaliou Nova Cookies como uma variante do kit conhecido como Sneaky2FA, com suporte ampliado para outros fornecedores de identidade como Okta e domínios de Entra federados pela GoDaddy.

O que ocorre e como funciona tecnicamente: Nova Cookies opera como um relé AitM. Em uma cadeia de ataque típica, a vítima recebe uma notificação aparentemente legítima (Island documenta o uso de envelopes reais de DocuSign como senheiro) que leva a um documento ou link malicioso. Esse link desencadeia uma série de redireções, algumas das quais podem passar por endpoints autênticos da Microsoft ou do Google, até chegar à infraestrutura controlada pelo atacante. Ao chegar a vítima à página de início de sessão falsificada e completar credenciais e códigos MFA, o kit retransmite essas credenciais à Microsoft em tempo real para completar a autenticação e captura a sessão resultante (cookies, tokens, códigos de um único uso).

Dois elementos técnicos chave fazem efetiva a fraude: Primeiro, o encadeamento de serviços legítimos (por exemplo, DocuSign → redireccione a Microsoft → relé atacante) faz com que cada salto pareça isolada e confiável; segundo, o relé em tempo real permite ao atacante converter uma autenticação legítima em acesso imediato usando cookies ou tokens capturados. A Island também indica que os operadores do kit empregam técnicas de evasão como portas através do Cloudflare e verificações anti-debug para evitar serem analisados por scanners automáticos.

Como é distribuído e gerenciado: as evidências coletadas indicam que Nova Cookies é anunciado e gerenciado pelo Telegram, que serve tanto para atrair afiliados como para configurar redireções e suporte. O modelo de negócio relatado é de phishing-as-a-service (PhaaS): a infraestrutura mantém centralmente o operador e os afiliados a usam sob assinatura, em contraste com modelos onde cada afiliado exibe seu próprio servidor. Os domínios observados em campanhas incluem extensões pouco habituais como ".vu" e URLs com marcas em alternância de maiúsculas para simular órgãos da Microsoft (por exemplo: PwPt-sHaRe, Ms36-AcCeSs), estratégia habitual para evitar inspeção superficial.

Alcance e propósito: os relatórios indicam ataques contra organizações de diversos setores e países; no entanto, o número exato de vítimas e a identidade dos operadores do serviço não estão publicamente confirmados. Proofpoint e outros pesquisadores têm relacionado Nova Cookies com famílias de kits AitM existentes e com a tendência mais ampla de commoditização da fraude por meio de PhaaS, que reduz a barreira técnica para atores com motivação econômica. Estas plataformas não só facilitam a captura de tokens, mas agora oferecem serviços complementares (análise de buzones, modelos de lures, capacidades de vishing com IA) que aumentam a probabilidade de exploração financeira posterior.

O que pode ser inferido e o que ainda é incerto: é razoável concluir que Nova Cookies facilita roubos de sessões e acesso a buzones corporativos quando os controles de identidade não bloqueiam o relé AitM. O que ainda não é público e requer mais investigação inclui a atribuição do operador principal, a magnitude precisa do dano económico ligado a essas campanhas e se a infraestrutura recebe suporte técnico de terceiros legítimos sem saber. Também é uma estimativa — baseada em padrões anteriores — que este PhaaS melhore a eficácia de ataques de compromisso de e-mail empresarial (BEC) e fraude financeira.

Consequências reais: para organizações e usuários, a ameaça principal não é apenas a divulgação de senhas, mas a capacidade dos atacantes de manter acesso persistente a contas autenticadas, evadir MFA temporariamente e operar desde sessões já validadas. Isso facilita roubo de dados, suplantação para fraudes financeiras e ataques posteriores como movimentos laterais dentro da rede.

Medidas concretas a tomar pelos leitores (usuários e administradores): não são recomendações genéricas, mas acções específicas e prática:

1) Para administradores do Microsoft 365 / Azure AD: habilitem e revejam políticas de acesso condicional (aplicar restrição por localização, risco e cumprimento de dispositivos), activem a capacidade de revogar sessões e refresh tokens imediatamente ante suspeita (documento da Microsoft sobre como revogar sessões: https://learn.microsoft.com/en-us/azure/active-diretory/users-groups-roles/users-revoke-sign-in-sessions) e considerem exigir métodos de autenticação resistentes a AitM — por exemplo, chaves de segurança FIDO2/passkeys e políticas que bloqueiem fluxos baseados em códigos de dispositivo quando não forem necessários.

2) Para equipamentos de segurança: monitorizem inícios de sessão anormais, em particular atividade que mostre alterações de cookies/tokens ou início de sessão a partir de locais/agents invulgares; procurem redireções OAuth e padrões de tráfego que indiquem relés em tempo real; adicionem detecções para domínios de baixa reputação (como extensões invulgares) e URLs que utilizem alternância de maiúsculas em subdomínios. Revisen logs de e-mail e SharePoint/OneDrive para acessos atípicos após notificações de partilha.

3) Para usuários finais: sejam cautelosos com avisos de documento compartilhado, mesmo que cheguem a partir de um remetente legítimo. Em vez de abrir links dentro do e-mail ou em anexos HTML, acessem diretamente o serviço (por exemplo, entrar em DocuSign ou OneDrive a partir do seu portal corporativo) e verifiquem lá o conteúdo compartilhado. Evitem introduzir credenciais ou códigos MFA em páginas cujo URL não possa validar claramente. Eduquem as equipes sobre a possibilidade de um e-mail legítimo atuar como carrier de um payload malicioso.

4) Medidas técnicas adicionais: habilitem proteção avançada contra phishing (ATP / Microsoft Defender for Office 365 ou soluções equivalentes), usem navegação remota ou isolamento para links desconhecidos, e limitem permissões de aplicativos de terceiros que usam OAuth. Revisen e reforcem SPF/DKIM/DMARC e mantenham políticas para minimizar contas comprometidas como remetentes autenticados.

Contexto mais amplo: Nova Cookies é parte de uma onda maior de PhaaS e kits AitM que estão evoluindo rapidamente. Grupos e serviços comerciais no mercado clandestino oferecem agora modelos, gestão no Telegram, e módulos de evasão que fazem com que mesmo operadores com pouca experiência consigam compromissos bem-sucedidos. Para compreender mitigações técnicas gerais sobre phishing e práticas recomendadas de defesa, CISA e Microsoft mantêm guias públicas: por exemplo, CISA oferece conselhos práticos sobre como proteger-se do phishing https://www.cisa.gov/tips/st04-014, e a documentação da Microsoft sobre fluxos de OAuth e boas práticas de autenticação é uma referência operacional chave ( https://learn.microsoft.com/en-us/azure/active-diretory/develop/v2-oauth2-auth-code-flow).

Conclusão: Nova Cookies não introduz um conceito novo, mas sim consolida e comercializa técnicas AitM que erosionam a proteção oferecida por fluxos de autenticação tradicionais. A resposta operacional exige combinar medidas de identidade mais resistentes, detecção centrada em sessões e mudanças de comportamento de usuários, e formação prática que faça duvidar aos destinatários antes de seguir ligações aparentemente legítimas. Até que as plataformas de identidade mitiguem de forma técnica estes vetores, a higiene e as políticas defensivas são a barreira mais eficaz.