Operação CloudFire: Nova tática de phishing rouba sessões e burla autenticação de 2 etapas

Uma nova e sofisticada campanha maliciosa, batizada de Operação CloudFire, foi identificada em meados de agosto pela equipe de pesquisa da Material Security. O ataque explora os convites do Google Agenda para roubar sessões de usuários corporativos e burlar a autenticação de duas etapas (MFA), utilizando uma arquitetura dividida em três camadas para contornar filtros de segurança.

O sucesso do esquema reside na combinação de três elementos que atuam simultaneamente e em tempo real: redirecionadores legítimos, desafios reais de segurança e um proxy reverso dinâmico. Essa estratégia permite que os criminosos contornem filtros automáticos de reputação e análises estáticas, tornando o ataque mais difícil de detectar.

Anatomia das três camadas do ataque

A infraestrutura do ataque é modular. Na primeira camada, os convites chegam às vítimas por meio de cópia oculta (BCC) ou de contas comprometidas, com links que utilizam redirecionadores oficiais do Google ou arquivos do Google Drive. Isso faz com que a mensagem pareça legítima para os gateways de e-mail, exibindo domínios, certificados digitais e reputação do próprio Google.

A segunda camada funciona como um portão de defesa, onde links secundários carregam um token que ativa a interface e monitora o usuário. O acesso passa por páginas de verificação que utilizam o Cloudflare Turnstile, muitas vezes servido de forma legítima.

Na terceira camada, a página de captura é construída dinamicamente no navegador do usuário como um documento em Binary Large Object (blob), um bloco de dados binários armazenado na memória temporária. Isso impede a detecção por rastreadores estáticos. Um proxy reverso intercepta o fluxo real de login do Google.

Roubo de sessão e infraestrutura descartável

Assim que a vítima digita a senha e aprova a verificação em duas etapas (por SMS, aplicativo autenticador ou Tap-Yes), o sistema repassa cada comando instantaneamente para a plataforma oficial, capturando a sessão ativa sem levantar suspeitas imediatas. O roubo de sessão concede acesso irrestrito a e-mails, arquivos e permissões de aplicativo (OAuth).

A operação se destaca pela agilidade em substituir componentes comprometidos. Os operadores utilizaram múltiplos registradores e dezenas de domínios registrados poucos dias ou minutos antes das campanhas. A dependência de serviços de nuvem e certificados automatizados permitiu a rápida reconstrução da infraestrutura após bloqueios.

Desafios para equipes de segurança

As abordagens tradicionais focadas apenas na reputação de domínios ou na varredura de links em trânsito se mostraram insuficientes. O vetor inicial utiliza o Google Agenda, uma superfície ignorada pelos filtros convencionais de e-mail.

Os especialistas da Material Security enfatizam que as organizações precisam adotar respostas automáticas e ágeis. A meta recomendada é que as equipes de segurança consigam auditar logs, revogar sessões ativas e redefinir credenciais comprometidas em menos de uma hora para mitigar o risco de exfiltração de dados corporativos confidenciais.