Forg365: novo phishing-as-a-service industrializa roubo de sessoes do Microsoft 365 com device code, AitM e IA

Uma nova operacao de phishing-as-a-service (PhaaS) batizada de Forg365 esta sendo comercializada por US$ 400 mensais no Telegram e combina device code phishing, adversary-in-the-middle (AitM), evasao antibot e geracao de iscas com IA para sequestrar contas do Microsoft 365. O painel operacional, mapeado por pesquisadores da ZeroBAC, inclui rotacao de SMTP, cofre de tokens roubados, extensao de navegador propria e integracao com Amazon SES e Twilio SendGrid como infraestrutura de entrega legitima.

O que aconteceu

A ZeroBAC, empresa de seguranca de e-mail, publicou nesta semana uma analise detalhada da operacao Forg365, apresentada por seus operadores como um kit completo de phishing voltado para o Microsoft 365. O servico e vendido via canal privado no Telegram em duas modalidades: US$ 400 por mes ou US$ 3.800 no plano anual, um patamar que se equipara aos principais players desse mercado clandestino nos ultimos anos, como Rockstar 2FA, Tycoon e o ja aposentado EvilProxy.

O diferencial do Forg365 esta no grau de industrializacao do processo. O painel do afiliado expoe fluxos de trabalho maduros que cobrem todo o ciclo de vida do ataque: criacao de contas, geracao de links, envio de convites, configuracao de aplicativos OAuth, cadeias de redirecionamento, geracao de SVG, disparo de campanhas, perfis SMTP com rotacao automatica, geracao de e-mails com auxilio de IA, cofre de tokens roubados, inteligencia de contas comprometidas, alertas por palavra-chave, viewer links e suporte a uma extensao de navegador propria.

As cadeias de ataque abusam de servicos legitimos de entrega de e-mail, notadamente o Amazon Simple Email Service (SES) e o Twilio SendGrid, para construir cadeias de redirecionamento que se camuflam no trafego habitual das caixas corporativas antes de aterrissar em dominios controlados pelo Forg365.

Como o ataque funciona

O Forg365 combina duas tecnicas ja consolidadas no arsenal de operadores focados em Microsoft 365. A primeira e o device code phishing, que abusa do fluxo legitimo do OAuth 2.0 usado por dispositivos sem teclado (TVs, consoles, IoT) para autenticar contas: a vitima recebe um codigo aparentemente inocente que, ao ser inserido em uma pagina legitima da Microsoft, autoriza o token do atacante. A segunda e o AitM classico com proxy reverso, que intercepta a autenticacao em tempo real, capturando cookies de sessao apos o MFA ter sido concluido com sucesso.

Uma vez capturados, os tokens de acesso e refresh sao armazenados no cofre do painel e podem ser reutilizados para reconstruir sessoes de navegador persistentes, sem que o usuario precise interagir novamente. O modelo permite acesso silencioso a caixas de correio, arquivos do OneDrive, chats do Teams e configuracoes do tenant durante toda a validade do token, tipicamente uma hora para o access token e ate 90 dias para o refresh.

O painel expoe um workflow operacional maduro: contas, links, convites, configuracao de aplicativos OAuth, links de redirecionamento, geracao de SVG, envio de campanhas, perfis SMTP, rotacao de SMTP, geracao de e-mail por IA, cofre de tokens, inteligencia de contas, alertas por palavra-chave, viewer links e suporte a extensao de navegador.

ZeroBAC

Quem esta na mira

O alvo declarado do Forg365 sao mailboxes corporativas do Microsoft 365, mas a lista de recursos operacionais indica que o servico atende tres perfis distintos de afiliados: operadores focados em fraude financeira via business email compromise (BEC), operadores de acesso inicial que revendem tokens para grupos de ransomware e brokers de credenciais que alimentam mercados de logs. As organizacoes em maior risco incluem:

• Empresas com forte dependencia do Microsoft 365 sem controles condicionais de acesso baseados em risco de sessao
• Ambientes que ainda permitem device code flow para tenants corporativos sem justificativa de negocio
• Setores com alto ROI em BEC: escritorios de advocacia, incorporadoras, escritorios de contabilidade e departamentos financeiros de operacoes de M&A
• Empresas que confiam apenas em bloqueio de dominio ou reputacao de remetente, sem inspecao comportamental do fluxo pos-login
• Ambientes que compartilham a mesma sessao entre extensoes de navegador e login corporativo

Analise

O Forg365 confirma uma tendencia observada desde a aposentadoria do EvilProxy em 2024 e do desmonte parcial do Rockstar 2FA em 2025: o mercado de PhaaS focado em Microsoft 365 nao esta encolhendo, esta se profissionalizando. A propria composicao de recursos do painel (rotacao de SMTP, geracao de e-mail com IA, cofre de tokens) mostra que a arbitragem entre atacantes agora nao esta mais em quem consegue roubar credenciais, mas em quem consegue operar em escala sem queimar infraestrutura.

O uso ostensivo de Amazon SES e Twilio SendGrid como camadas iniciais de entrega e o ponto que exige atencao dos defensores. Bloquear esses provedores nao e opcao viavel para a maioria das empresas, ja que ambos fazem parte do trafego legitimo de dezenas de sistemas SaaS. Isso empurra a deteccao para dois lugares: analise comportamental do conteudo (uso de SVG como vetor de payload, cadeias de redirecionamento longas, dominios recem-registrados) e monitoramento pos-autenticacao no proprio tenant (novos aplicativos OAuth aprovados, refresh tokens acionados de ASN incomum).

A adocao de geradores de e-mail com IA no painel merece nota. Em campanhas anteriores como as do Storm-1811 e Storm-2372, a qualidade do texto ja havia deixado de ser um sinal confiavel de phishing. Com o Forg365, empresas que ainda treinam usuarios exclusivamente para detectar erros de portugues ou anomalias de tom estao correndo atras do prejuizo.

Recomendacoes praticas

• Desabilitar o device code flow para tenants corporativos via Conditional Access, permitindo apenas em cenarios de negocio comprovados
• Exigir autenticacao resistente a phishing (FIDO2/WebAuthn ou Passkeys) para grupos privilegiados e para usuarios de setores expostos a BEC
• Configurar Conditional Access com sign-in risk e user risk elevados para forcar reautenticacao ou bloqueio em sessoes suspeitas
• Implementar restricao de aprovacao de aplicativos OAuth por usuarios finais (admin consent workflow) e revisar semanalmente aplicativos com permissoes de leitura de e-mail
• Monitorar refresh tokens usados de ASNs distintos do login original e criar alertas para saltos geograficos alem do razoavel para o usuario
• Bloquear ou inspecionar anexos SVG em fluxos de e-mail corporativos, um vetor recorrente no arsenal de PhaaS atual
• Reduzir a vida util de refresh tokens em usuarios de alto risco e usar Continuous Access Evaluation (CAE) para invalidar sessoes imediatamente apos revogacao de credenciais
• Auditar regras de mailbox criadas nas ultimas 90 dias, um dos primeiros movimentos de operadores BEC apos comprometer uma conta

Fonte: The Hacker News