Pesquisadores de segurança cibernética estão alertando para uma nova e sofisticada forma de phishing de credenciais, projetada para garantir que as informações roubadas estejam vinculadas a contas online legítimas e ativas. A técnica, apelidada de “phishing de validação de precisão”, utiliza validação de e-mails em tempo real para restringir o ataque a um grupo previamente selecionado de alvos de alto valor.
Diferentemente das tradicionais campanhas de coleta de credenciais do tipo “spray-and-pray”, que disparam e-mails em massa na esperança de capturar algum login válido, essa nova abordagem representa um avanço no spear-phishing. Ela foca exclusivamente em endereços de e-mail previamente verificados como ativos, legítimos e potencialmente lucrativos.
O funcionamento é engenhoso: quando a vítima insere seu endereço de e-mail em uma landing page de phishing, o sistema realiza uma validação imediata no banco de dados dos atacantes. Se o endereço for considerado válido, a vítima é levada a uma tela de login falsa, onde suas credenciais são coletadas. Caso contrário, o sistema retorna um erro ou redireciona o usuário para uma página inofensiva, como a Wikipédia — uma tática que dificulta a detecção por sistemas de segurança automatizados.
Essa validação seletiva é implementada por meio de APIs ou scripts em JavaScript integrados aos kits de phishing. Isso eleva a eficiência do golpe, assegurando que apenas contas reais e ativamente utilizadas sejam alvo da coleta de credenciais, o que aumenta significativamente o valor dos dados obtidos para revenda ou exploração posterior.
A natureza direcionada da campanha também confere maior resistência a análises em ambientes sandbox e a ferramentas de rastreamento automatizadas, prolongando a eficácia da operação e reduzindo os riscos para os cibercriminosos.
Esse novo método surge logo após a descoberta de uma campanha de phishing por e-mail que usa lembretes de exclusão de arquivos como isca. O golpe envolve o envio de mensagens com uma URL que aparentemente aponta para um arquivo PDF prestes a ser removido da plataforma legítima de armazenamento files.fm. Ao clicar no link, o destinatário é redirecionado para a página real do serviço e pode fazer o download do arquivo supostamente urgente.
Ao abrir o PDF, o usuário é confrontado com duas opções: visualizar ou baixar o conteúdo. Se optar por visualizar, será redirecionado para uma falsa tela de login da Microsoft, destinada ao roubo de credenciais. Já ao escolher o download, um executável malicioso é instalado — disfarçado como Microsoft OneDrive, mas na verdade trata-se do software de acesso remoto ScreenConnect, da ConnectWise.
Essa armadilha dupla parece ter sido deliberadamente projetada para capturar o usuário independentemente da escolha feita — duas rotas distintas com o mesmo objetivo malicioso.
Além disso, pesquisadores identificaram um ataque multiestágio ainda mais complexo, combinando técnicas como vishing, uso de ferramentas de acesso remoto e exploração de recursos legítimos do sistema (living off-the-land). O modus operandi é coerente com atividades atribuídas aos grupos Storm-1811 e STAC5777.
Nesse caso, os atacantes se aproveitaram de canais de comunicação expostos, enviando um payload malicioso via mensagem no Microsoft Teams. A partir daí, utilizaram o recurso Quick Assist para obter acesso remoto ao sistema da vítima, implantando binários legítimos como TeamViewer.exe, além de uma DLL maliciosa (TV.dll) carregada lateralmente. Por fim, um backdoor de comando e controle (C2) baseado em JavaScript foi executado via Node.js, estabelecendo persistência no ambiente comprometido.
Para saber mais sobre, clique aqui.