Operação CloudFire: Nova tática de phishing burla autenticação de duas etapas

Uma nova e sofisticada campanha maliciosa, batizada de Operação CloudFire, foi identificada em meados de agosto pela equipe de pesquisa da Material Security. A tática explora convites do Google Agenda para burlar a autenticação de duas etapas (MFA) de usuários corporativos, roubando sessões ativas sem levantar suspeitas imediatas.

O sucesso do ataque reside na combinação de três elementos que atuam simultaneamente e em tempo real: redirecionadores legítimos, desafios reais de segurança e um proxy reverso dinâmico. Essa arquitetura dividida em três camadas é projetada para contornar filtros automáticos de reputação e análises estáticas, tornando a detecção mais difícil.

Anatomia das três camadas do ataque

A primeira camada, a isca, envia convites por meio de cópia oculta (BCC) ou de contas comprometidas. Os links inseridos não apontam diretamente para servidores criminosos, mas utilizam redirecionadores oficiais do Google, acrônimos do Workspace ou links diretos para arquivos do Google Drive. Isso faz com que, ao serem escaneados pelos gateways de e-mail, o domínio, o certificado digital e a reputação exibidos pertençam integralmente ao Google.

A segunda camada, o portão de defesa, utiliza links secundários que carregam um token hexadecimal para ativar a interface e monitorar o usuário. O acesso passa por páginas de verificação que empregam o Cloudflare Turnstile, uma ferramenta legítima de proteção contra bots.

Na terceira camada, o coletor e proxy, a página de captura é construída dinamicamente no navegador do usuário como um documento em Binary Large Object (blob), um grande bloco de dados binários armazenados na memória temporária. Isso impede que rastreadores estáticos encontrem arquivos para escanear. A partir daí, um proxy reverso intercepta o fluxo real de login do Google.

Como o roubo de sessão funciona

Assim que a vítima digita a senha e aprova a verificação em duas etapas (seja por SMS, aplicativo autenticador ou o recurso Tap-Yes), o sistema repassa cada comando instantaneamente para a plataforma oficial do Google. Essa ação captura a sessão ativa sem levantar suspeitas imediatas, concedendo acesso irrestrito a e-mails, arquivos e permissões de aplicativo (OAuth).

A operação se destaca pela agilidade com que os cibercriminosos substituem componentes comprometidos. Os operadores utilizaram múltiplos registradores e dezenas de domínios cujas datas de registro antecediam em poucos dias ou minutos os disparos das campanhas. A dependência de serviços de nuvem e certificados automatizados permitiu que a infraestrutura fosse rapidamente reconstruída após bloqueios.

Desafios e recomendações para equipes de segurança

A atuação conjunta de pesquisadores com o Cloudflare buscou queimar o ecossistema dos operadores, obrigando-os a refazer registros, reconfigurar certificados TLS e reestruturar servidores de backend. O relatório reforça que abordagens tradicionais focadas apenas na reputação de domínios ou na varredura de links em trânsito se mostraram insuficientes, pois o vetor inicial utiliza superfícies ignoradas pelos filtros convencionais do e-mail, como o Google Agenda.

Os especialistas da Material Security enfatizam que as organizações precisam adotar respostas automáticas e ágeis. A meta recomendada é que as equipes de segurança consigam auditar logs, revogar sessões ativas e redefinir credenciais comprometidas em menos de uma hora para mitigar o risco de exfiltração de dados corporativos confidenciais.