Novo kit de phishing usa passkeys para manter acesso

Um novo kit de phishing comercializado em fóruns de cibercrime permite, alegadamente, registar uma passkey controlada pelo atacante numa conta comprometida, criando uma forma de acesso persistente que sobrevive à alteração da palavra-passe. O iAuthFlow V2 foi identificado num fórum de língua russa e está à venda por 10 mil dólares, com módulos adicionais comercializados separadamente.

A análise foi realizada pela Abnormal com base nas publicações e demonstrações disponibilizadas pelo vendedor do iAuthFlow V2, sem que os investigadores tenham adquirido ou executado o malware. A empresa analisou, em particular, o funcionamento anunciado para o módulo de passkeys num ataque contra uma conta Gmail, pelo que salienta que existe ainda pouca informação independente sobre o kit.

O ataque começa com uma campanha de phishing convencional e depende de a vítima introduzir as credenciais numa página controlada pelo atacante. Em paralelo, é utilizado um segundo ambiente de browser, alojado no servidor do atacante e ligado à sessão da vítima, para retransmitir as credenciais e as respostas de autenticação.

Durante o processo, o iAuthFlow V2 consegue, segundo a análise, adicionar uma passkey previamente preparada à conta. Quando a Google solicita uma nova autenticação, a vítima acredita estar apenas a concluir o processo iniciado na página apresentada, mas acaba por autorizar também a credencial controlada pelo atacante.

Esta técnica altera a resposta habitual a um ataque de phishing. A mudança da palavra-passe e a revogação das sessões ativas permitem normalmente impedir a reutilização de credenciais ou cookies de sessão comprometidos, mas não eliminam necessariamente uma passkey entretanto associada à conta.

“Alterar a palavra-passe e revogar as sessões ativas são respostas padrão a uma caixa de correio comprometida. Quando o acesso de um atacante está limitado a cookies de sessão capturados, estas ações normalmente terminam esse acesso”, explica a Abnormal.

Uma passkey, contudo, constitui uma credencial registada na própria conta e não um token derivado da palavra-passe. Se permanecer associada à conta, o atacante pode voltar a utilizá-la como método alternativo de autenticação sem conhecer a nova palavra-passe.

A Abnormal alerta, por isso, que a alteração da palavra-passe pode já não ser suficiente em determinados ataques de phishing, sendo necessário verificar também os métodos de autenticação e as passkeys registadas na conta e remover credenciais desconhecidas.

Os investigadores ressalvam, no entanto, que as conclusões sobre o iAuthFlow V2 resultam da análise das informações divulgadas pelo próprio vendedor e não da utilização direta do kit. O caso evidencia, segundo a empresa, a evolução das técnicas de engenharia social e a utilização de mecanismos de autenticação legítimos para prolongar o acesso a contas comprometidas.