A maioria dos e-mails de phishing ainda depende de um link. Um destinatário clica nele, chega a uma página hospedada em algum lugar, e o domínio dessa página é pelo menos algo que uma equipe de segurança pode sinalizar ou bloquear. Uma nova pesquisa da empresa de inteligência de ameaças ANY.RUN, publicada em 25 de agosto e amplamente divulgada, inclusive pelo The Hacker News, descreve uma plataforma de phishing como serviço chamada Mirage2FA que dispensa essa etapa. Ela entrega a própria página de phishing como um anexo.
Um Anexo Que Constrói Sua Própria Página de Phishing
As mensagens do Mirage2FA carregam arquivos HTML, XHTML ou SVG como anexos em vez de links para uma página hospedada. Quando um destinatário abre um deles, o anexo não redireciona para lugar nenhum; ele roda localmente no navegador, usando um carregador de JavaScript ofuscado para montar uma página de login do Microsoft 365 convincente diretamente na máquina da vítima. Não existe uma URL externa para um scanner verificar no momento da entrega, porque nesse momento nada malicioso ainda saiu do anexo. A página só começa a se comunicar com a infraestrutura do atacante quando a vítima começa a digitar nela, exatamente o momento em que uma defesa baseada em links já teria tido sua única chance de intervir e a teria perdido.
Credenciais Reais, Um Código Real, Um Cookie de Sessão Real
Assim que a vítima insere um usuário e uma senha nessa página construída localmente, começa o verdadeiro roubo do Mirage2FA. O kit executa um proxy de adversário no meio que retransmite essas credenciais para os servidores reais de login da Microsoft em tempo real, e então repassa o código de verificação de uso único que a vítima digita em resposta a um pedido de MFA genuíno. Como o login está realmente acontecendo, a Microsoft emite de volta um cookie de sessão autenticado genuíno, e o proxy o captura antes que chegue à vítima. Os pesquisadores encontraram a plataforma armazenando os cookies roubados como despejos de texto codificados em base64 em seu painel de operador, prontos para serem reutilizados contra o Microsoft 365, qualquer aplicativo de login único conectado e quaisquer ferramentas internas que confiem nessa sessão. O atacante nunca mais precisa da senha, nem precisa passar pelo MFA de novo, porque a sessão à sua frente já passou.
Dois Anos, 94 Países, Quase Metade Comprometida
A ANY.RUN rastreou a infraestrutura do Mirage2FA até pelo menos julho de 2024, operando em mais de 31 domínios e 14 endereços IP por mais de dois anos antes que essa pesquisa a revelasse nessa escala. A onda atual atingiu 9.426 endereços de e-mail em 3.518 organizações em 94 países, com 63,7% dos alvos nos Estados Unidos e tecnologia, manufatura e educação entre os setores mais visados. Desses 9.426 endereços-alvo, 4.532 foram avaliados como potencialmente comprometidos, uma taxa de sucesso acima de 48%. As iscas eram documentos comerciais comuns: notificações de documentos seguros, confirmações de remessa, faturas automatizadas e solicitações de pagamento, o tipo de linha de assunto que gera um clique sem segunda reflexão.
Por Que o DMARC Nunca Entra Nessa História
O DMARC verifica apenas uma coisa: se o domínio nomeado no cabeçalho From de uma mensagem autorizou a infraestrutura que a enviou. Os operadores do Mirage2FA não precisam falsificar o domínio de ninguém para que isso funcione, porque o próprio anexo carrega a carga maliciosa em vez de um link apontando para um remetente parecido. Uma mensagem construída dessa forma pode sair de um domínio que o atacante controla totalmente, com seu próprio registro SPF válido, sua própria assinatura DKIM e sua própria política DMARC configurada para passar, e a verificação fará exatamente o que deveria fazer: confirmar que o remetente tinha autoridade para enviar a partir daquele domínio. Ela nunca foi projetada para abrir um anexo HTML, avaliar o JavaScript dentro dele, nem observar um proxy retransmitindo um login real e um código de MFA real para os servidores reais da Microsoft alguns segundos depois. Cada parte dessa cadeia acontece depois que a única pergunta que o DMARC responde já foi resolvida.
O Que Isso Significa Para o Seu Programa
Estenda a inspeção de anexos para arquivos HTML, XHTML e SVG, não apenas executáveis e macros. Uma mensagem que autentica sem problemas e carrega o que parece um anexo de documento ainda pode ser todo o mecanismo de entrega de uma página de phishing, e decisões de filtragem construídas apenas em torno de links suspeitos não vão detectar isso.
Não trate um pedido de MFA concluído como prova de que um login foi seguro. Um proxy de adversário no meio retransmite um código real para um servidor de login real em tempo real, então a vítima genuinamente completa o MFA enquanto o atacante captura a sessão por trás disso; a defesa que importa aqui é a autenticação resistente a phishing, como passkeys, não um código de uso único adicional.
Fique atento a infraestrutura que opera há anos, não apenas dias. O Mirage2FA operou por mais de dois anos antes que uma pesquisa nessa escala o alcançasse, o que significa que feeds de ameaças construídos apenas sobre domínios recém-registrados vão deixar passar infraestrutura que teve tempo de amadurecer e construir reputação.
Monitore a atividade de sessões e tokens em busca de viagens impossíveis e reutilização, não apenas logins falhos. Um cookie roubado permite que um atacante pule completamente a tela de login, então o sinal a ser capturado é uma sessão válida aparecendo onde não deveria, não uma tentativa de login que nunca aconteceu.
A Conclusão
O Mirage2FA não é interessante por derrotar o MFA; kits de adversário no meio já fazem isso há um tempo. Ele é interessante porque remove a única parte de um e-mail de phishing que a maioria das defesas ainda está construída para inspecionar: o link. Quando a carga maliciosa é um anexo que constrói a página sozinho, e o domínio que a envia nunca precisou mentir sobre quem era, os protocolos de autenticação respondem corretamente à sua única pergunta e o ataque avança mesmo assim. Essa lacuna não é uma falha do DMARC. É o limite do que o DMARC um dia foi pedido para fazer.
O DMARC confirma que um domínio tinha autoridade para enviar. Ele não consegue inspecionar o que um anexo HTML constrói depois de aberto, nem consegue ver um proxy retransmitindo um código de MFA real para a Microsoft nos bastidores. O Excello Mail transforma seus relatórios agregados de DMARC em um registro claro e contínuo de cada domínio e serviço enviando em seu nome, para que a camada que a autenticação realmente cobre continue vigiada enquanto sua equipe constrói as defesas para tudo o que acontece depois do clique. Cadastre-se gratuitamente no Excello Mail e deixe essa base pronta.