Amazon bloqueia campanha russa que visava credenciais de utilizadores da Microsoft

A Amazon revelou ter interrompido uma campanha de ciberespionagem russa que explorava sites legítimos para recolher credenciais de contas Microsoft. O ataque é atribuído ao grupo patrocinado pelo Estado conhecido como Midnight Blizzard ou APT29.

O APT29, também rastreado como Cozy Bear, the Dukes e Yttrium, será apoiado pelo Serviço de Inteligência Estrangeira da Rússia (SVR) e tem como objetivo a recolha de credenciais e informações estratégicas. Segundo a Amazon, o ataque demonstrou uma evolução na capacidade do grupo de escalar operações de ciberespionagem de forma mais ampla.

O método utilizado envolvia reencaminhamentos para domínios falsos, como findcloudflare[.]com, que imitava páginas legítimas de verificação da Cloudflare. Nas páginas maliciosas, as vítimas eram induzidas a iniciar sessão nas suas contas Microsoft, o que permitia aos invasores controlar os dispositivos associados.

De acordo com CJ Moses, CISO da Amazon, apenas cerca de 10% dos visitantes dos sites comprometidos foram redirecionados para os domínios maliciosos. Acrescenta ainda que “esta abordagem oportunista ilustra a evolução contínua do APT29 na ampliação das suas operações para lançar uma rede mais vasta nos esforços de recolha de inteligência”.

A Midnight Blizzard aplicou técnicas para reduzir a deteção, incluindo o envio aleatório dos utilizadores, ocultação do código malicioso com codificação base64 e configuração de cookies para evitar que as mesmas vítimas fossem redirecionadas repetidamente.

Quando a infraestrutura era bloqueada, os invasores alteravam rapidamente os domínios e mudavam de fornecedor cloud, registando novos endereços, como cloudflare[.]redirectpartners[.]com, segundo a Amazon. CJ Moses ressalta que os sistemas da AWS não foram comprometidos, nem houve impacto direto nos serviços ou na infraestrutura da empresa.

Esta não é a primeira ação do APT29 neste contexto: já no ano passado, o grupo fez-se passar por colaboradores da AWS e da Microsoft para entregar arquivos de configuração RDP a utilizadores desprevenidos. Em junho de 2025, a Google alertou sobre ataques direcionados ao recurso de “palavra-passe específica da aplicação”, induzindo utilizadores do Gmail a fornecer acesso sem autenticação multifator.