Investigação da CTM360 expõe o kit InsureOTP e técnica de proxy ativo que permite a adversários contornar MFA e autenticar sessões imediatamente durante o ataque.
| Componente | Portais de seguros online e kit de phishing InsureOTP |
| Vetor | Páginas de phishing atuando como intermediário em tempo real (proxy) com relaying de credenciais e OTP |
| Impacto | Sequestro de conta em tempo real (session-time compromise), bypass de autenticação multifator e exposição de dados sensíveis de segurados |
| Prioridade | Análise de telemetria de infraestrutura de phishing e transição de bloqueio de domínios para inteligência de ameaças operacional |
Investigações recentes sobre operações de phishing direcionadas ao setor de seguros revelaram uma mudança significativa na tática de adversários. Tradicionalmente, campanhas de phishing visavam a coleta de credenciais para uso posterior, aproveitando um delay entre a coleta e a exploração. No entanto, novas atividades demonstram uma evolução para um modelo de sincronização em tempo real, onde atacantes autenticam sessões simultaneamente à vítima.
A pesquisa conduzida pela CTM360 identificou uma infraestrutura de ataque otimizada para velocidade e acesso imediato, focada em provedores de seguros. O cerne dessa operação é um kit de phishing denominado InsureOTP Kit, projetado especificamente para gerenciar sessões ativas. Em vez de funcionar como um formulário estático de coleta de dados, o portal malicioso atua como um intermediário dinâmico, retransmitindo credenciais e códigos de validação para o portal legítimo enquanto a vítima ancora a sessão.
Essa abordagem transforma o phishing de um exercício de coleta de dados passiva em uma operação ativa de sequestro de conta. O ataque se desenrola inteiramente dentro de uma única sessão de navegação da vítima, eliminando a janela de oportunidade para defesas baseadas na detecção de credenciais vazadas após o fato. A técnica neutraliza mecanismos tradicionais de autenticação multifator (MFA) que dependem de senhas de uso único (OTP), pois o código é capturado e reutilizado antes de expirar.
O ataque inicia quando a vítima é induzida a acessar um portal de phishing que se passa por uma seguradora legítima. Diferente de páginas falsas convencionais, o site malicioso possui scripts que agem como um proxy para o serviço real. Quando o usuário insere nome de usuário e senha, o kit transmite esses dados imediatamente para a interface legítima da seguradora.
Ao receber a solicitação de autenticação, o portal legítimo dispara o desafio MFA, geralmente um OTP via SMS ou e-mail. A página de phishing intercepta esse fluxo e solicita o mesmo código à vítima sob o pretexto de verificação de identidade padrão. Assim que a vítima digita o OTP, o kit o retransmite instantaneamente para o portal legitimo, completando o handshake de autenticação e estabelecendo uma sessão autorizada para o adversário.
O InsureOTP Kit facilita esse processo através de funcionalidades de gerenciamento de backend que permitem aos operadores visualizarem e interagirem com as sessões em andamento. Variante deste kit utiliza APIs de Bots do Telegram para receber os dados estruturados das vítimas em tempo real, acelerando a reação do atacante. Em caso de falha na autenticação, a interface administrativa do kit permite solicitar novos envios de OTP, mantendo o ciclo de tentativas vivo até o acesso ser concedido ou a sessão expirar.
A campanha analisada apresentou um alvo diversificado, com foco primário na Arábia Saudita e atividade secundária observada na Europa, Estados Unidos e Índia. Apenas esse setor específico foi mapeado, mas a técnica aplica-se a qualquer setor que utilize portais web baseados em formulário seguidos de MFA assíncrono. A infraestrutura de suporte explorou serviços legítimos de hospedagem e construtores de sites, como GitHub Pages, Netlify, Hostinger, Wix e Lovable.
O uso de plataformas legítimas dificulta a mitigação via blacklists tradicionais de DNS ou IP, pois o tráfego malicioso se mescla com o tráfego legítimo de provedores de nuvem confiáveis. Os domínios utilizados eram gerados aleatoriamente, sem forte semelhança com as marcas das seguradoras, permitindo rotação rápida de ativos.
Contas comprometidas de seguros oferecem aos adversários um rico Repositório de informações pessoais (PII), documentos de identidade, registros de apólices, métodos de pagamento e histórico de sinistros. O impacto transcende o furto financeiro imediato, viabilizando fraude de identidade e outros abusos.
- Portais de seguros digitais globais
- Infraestrutura de hospedagem em nuvem gratuita e legítima (GitHub Pages, Netlify)
- Kits de phishing administráveis (InsureOTP Kit)
Para equipes de segurança, a detecção dessas ameaças exige uma mudança de foco da identificação de domínios para a análise de comportamento de sessão. Um indicador crítico é a presença de tentativas de login originando de IPs ou ambientes de navegador inconsistentes com o perfil histórico do usuário, executadas em paralelo ao login legítimo. A análise do tráfego de rede para portais de seguros pode revelar padrões de automação onde uma sessão legítima é espelhada quase simultaneamente.
A inteligência de ameaças deve monitorar a web aberta em busca de backends expostos de kits de phishing semelhantes ao InsureOTP. A análise da CTM360 revelou bancos de dados SQLite, código-fonte administrativo e registros operacionais expostos publicamente devido a configurações incorretas dos servidores de comando e controle (C2). Esses artefatos permitem reconstruir a TTP (Tática, Técnica e Procedimento) do adversário e identificar domínios de suporte antes que sejam usados em campanhas ativas.
Equipes de defesa devem estar ativas a atividades anômalas em plataformas como GitHub Pages e Netlify onde repositórios públicos são criados para fins de hosting de formulários. Sinais de telemetria incluem a criação de grandes volumes de subdomínios aleatórios em provedores de DNS gratuitos apontando para infraestruturas de nuvens legítimas.
- Sessões de autenticação concorrentes ou sequências de login anômalas
- Exposição de bancos de dados SQLite ou interfaces administrativas de kits de phishing na internet
- Uso massivo de construtores de site (Wix, Netlify) para hospedar formulários de coleta de dados
A resposta a essa ameaça não deve depender exclusivamente de bloqueios de lista negra de domínios, devido à natureza efêmera da infraestrutura utilizada. As organizações precisam integrar Inteligência de Ameaças Cibernéticas (CTI) que contextualize a infraestrutura de ataque e os fluxos de trabalho dos adversários, indo além da Proteção de Risco Digital (DRP) tradicional.É fundamental compreender a ecologia do atacante e como os kits de phishing operam para interromper campanhas antes que atinjam o usuário final.
Técnicas de detecção de comportamento, como a análise do dispositivo e do comportamento de navegação, são recomendadas para identificar discrepancias entre a sessão do suposto usuário e o perfil esperado. A implementação de FIDO2/WebAuthn, que removesenhas e OTPs transmitidos via canal secundário em favor de criptografia de chave pública, é uma medida defensiva forte contra ataques de relay.
Para provedores de serviços afetados, recomenda-se a revisão dos fluxos de autenticação para garantir que a apresentação de credenciais e OTP não possa ser facilmente proxied por um terceiro sem verificar o contexto de segurança do cliente (como impressão do dispositivo). A ação defensiva prioritária é elevar o nível de maturidade da inteligência de ameaças para rastrear a evolução de kits de phishing e suas infraestruturas de suporte.
- Implementação de autenticação forte baseada em FIDO2/WebAuthn para eliminar OTPs vulneráveis a relay
- Adoção de CTI para rastrear infraestruturas de phishing e TTPs, não apenas indicadores isolados
- Monitoramento de comportamento de sessão e impressão de dispositivo para detectar login sincronizado
0 Comentários