Todas as campanhas desta série até agora começaram com uma mensagem chegando a uma caixa de entrada. O PREY-0058 não. A Arctic Wolf está rastreando um conjunto amplo de intrusões que começa com uma ligação telefônica ou uma mensagem de texto, e quando termina, o atacante já levou os sites do SharePoint, os arquivos do OneDrive, o e-mail do Exchange e as pastas do Box de uma empresa, tudo sem que uma única linha de malware toque um endpoint.
A Ligação Vem Primeiro
Os operadores por trás do PREY-0058 ligam ou enviam mensagens de texto para funcionários específicos, quase sempre diretores, vice-presidentes e outros executivos, além de equipe de TI que possa ter acesso privilegiado. Eles se passam pela própria central de atendimento de TI da empresa, geralmente com um pretexto plausível: uma atualização de segurança obrigatória, um cadastro de chave de acesso (passkey), um problema de login que precisa ser resolvido agora mesmo. A vítima é guiada, ao vivo, por telefone, até uma página de login.
Essa página não é genérica. A Arctic Wolf descobriu que a infraestrutura de intermediário adversário (AiTM) por trás do PREY-0058 é construída para cada organização vítima, hospedada em subdomínios que incorporam o próprio nome da empresa alvo junto com palavras-chave como passkey, oskey, passkeydeploy, setpasskey, oskeyconnect ou secure-passkey. A nomeação é deliberada: foi feita para se parecer exatamente com o tipo de etapa de cadastro de passkey ou chave de hardware que uma empresa preocupada com segurança realmente implantaria, no exato momento em que quem ligou disse à vítima para esperar por isso.
Uma Sessão Real, Roubada ao Vivo
A página fica no meio de um fluxo real de login do Microsoft 365 ou do SSO do Okta e Duo. A vítima digita a senha e completa o aviso de MFA, acreditando que está cadastrando uma passkey ou resolvendo um chamado da central de atendimento, e o painel de intermediário adversário captura tanto a credencial quanto o token de sessão resultante enquanto passam por ele. Esse token é então retransmitido a partir de infraestrutura de proxy residencial, o que faz o login parecer originado de um endereço IP na própria região da vítima, em vez de onde o operador realmente está, driblando as verificações de viagem impossível e de reputação de IP que, de outra forma, o sinalizariam.
Nada nessa etapa exige uma vulnerabilidade de software. É um login legítimo, completado pelo usuário real, em uma infraestrutura construída para se parecer exatamente com o que disseram a ele para esperar.
Coleta em Massa, Não um Ponto de Apoio
Assim que a sessão está ativa, os operadores do PREY-0058 não instalam malware nem se movem lateralmente pela rede interna. Não há carga útil de ransomware nem criptografia. Em vez disso, eles consultam as próprias APIs da Microsoft para mapear cada site e subsite do SharePoint que a conta comprometida consegue acessar, e depois executam coleta e exfiltração em massa pelo SharePoint, OneDrive, Exchange e Box. É um roubo de dados nativo da nuvem, construído inteiramente sobre acesso legítimo às APIs de serviços em que a organização vítima já confia.
O modo de operação se sobrepõe de perto ao UNC6671, o grupo de extorsão de dados impulsionado por vishing que a Mandiant tem rastreado mirando plataformas SaaS por meio de engenharia social em telefones pessoais. Depois que a exfiltração é concluída, a organização vítima recebe uma exigência de extorsão, identificada sob um de vários nomes rotativos que a Arctic Wolf observou, incluindo BlackFile, Redact, Pink e Helix. Os alvos relatados até agora se concentram nos Estados Unidos, nos setores de construção e engenharia, saúde e farmacêutica, imóveis e administração de propriedades, finanças e serviços profissionais.
Por Que Isso É uma História de DMARC, Mesmo Sem um E-mail
O DMARC, o SPF e o DKIM existem para responder a uma pergunta: esse e-mail foi realmente autorizado pelo domínio de onde diz ter vindo? O ponto de entrada do PREY-0058 é uma ligação telefônica. Não há mensagem para autenticar, nem remetente de envelope para verificar, nem assinatura DKIM para conferir, porque a abordagem inicial nunca toca no e-mail. Isso não é uma falha no design do DMARC. Está simplesmente fora do limite do que o protocolo um dia foi projetado para enxergar.
A parte relevante para o DMARC vem depois da invasão. O Exchange está na lista de serviços que o PREY-0058 coleta, e uma caixa de entrada comprometida é uma identidade de envio ativa e autenticada. Qualquer mensagem que o operador decida enviar a partir dela, seja para ampliar a intrusão, pressionar um colega, ou simplesmente passar despercebido enquanto coleta mais dados, sai pela infraestrutura real da Microsoft com uma assinatura DKIM válida e passa no DMARC de forma limpa, porque a conta genuinamente está autorizada a enviar como aquele domínio. O protocolo responde corretamente à sua única pergunta. Só nunca lhe fizeram a pergunta que importava aqui.
O Que Isso Significa Para o Seu Programa
Um canal resistente a phishing não ajuda se o atacante nunca o usa. O vishing contorna igualmente a filtragem de e-mail, a varredura de links e o DMARC, ao mirar o ser humano em uma linha telefônica em vez da caixa de entrada. Treinamentos de conscientização que só cobrem e-mails suspeitos deixam toda essa superfície de ataque descoberta.
Procedimentos de verificação da central de atendimento agora são um controle de identidade, não uma conveniência de TI. Se quem liga dizendo ser suporte de TI consegue guiar um executivo por uma aprovação de MFA, o ponto fraco real da organização é o processo de verificar quem está do outro lado dessa ligação, não a robustez do método de MFA em si.
Implantações de passkeys e chaves de hardware precisam de uma etapa de verificação que não possa ser falsificada por uma ligação telefônica. O PREY-0058 funciona especificamente porque imita o fluxo legítimo de cadastro de passkeys que as empresas estão implantando agora. Qualquer processo de cadastro introduzido como uma melhoria de segurança precisa de uma forma fora de banda para o usuário confirmar que é genuíno antes de agir sobre ele.
O acesso de privilégio mínimo ao SharePoint e ao OneDrive limita o dano que uma única sessão roubada pode causar. A etapa de coleta em massa depende inteiramente de quanto uma única conta comprometida consegue enxergar. Delimitar o acesso de forma rigorosa transforma um comprometimento total do tenant em um incidente contido.
A Conclusão
O PREY-0058 não precisou vencer o DMARC, o SPF ou o DKIM, porque nunca precisou enfrentá-los. Ele contornou completamente a autenticação de e-mail ao simplesmente pegar o telefone, e só tocou em infraestrutura autenticada depois que o dano já estava feito. À medida que a extorsão de dados impulsionada por vishing e livre de malware continua provando que consegue se mover mais rápido do que uma equipe de segurança percebe, as contas em que o seu domínio já confia merecem o mesmo escrutínio que as mensagens que tentam se passar por você.
O DMARC confirma que um e-mail foi autorizado a ser enviado como o seu domínio. Ele não tem nada a dizer sobre uma ligação telefônica que nunca tocou no e-mail, nem sobre o e-mail autenticado que uma caixa sequestrada envia depois. A Excello Mail te dá visibilidade contínua sobre tudo que envia em nome do seu domínio, para que a atividade de uma conta comprometida se destaque em vez de desaparecer em meio a relatórios de DMARC aprovados. Cadastre-se gratuitamente na Excello Mail e coloque essa visibilidade em prática antes que uma sessão roubada se transforme em uma violação de dados.