Novo serviço de phishing Bluekit burla MFA e redefine o jogo dos ataques contra contas Microsoft
Uma plataforma sofisticada de Phishing como Serviço (PhaaS), batizada de Bluekit, deixou de ser apenas um protótipo promissor e passou a operar em larga escala. Pesquisadores da Netcraft identificaram cerca de 70 hosts ativos associados à ferramenta em apenas uma semana, evidenciando que o serviço já está sendo amplamente explorado por criminosos digitais.
Inicialmente descrito pelo Varonis Threat Labs como um kit em desenvolvimento, o Bluekit amadureceu rapidamente e hoje representa uma ameaça completa: é capaz de contornar autenticação multifator (MFA) e capturar credenciais de login da Microsoft em tempo real, inclusive sessões já autenticadas.
Do ataque intermediário ao navegador intermediário
Tradicionalmente, kits de phishing avançados utilizam uma abordagem de ataque intermediário (AitM), como o popular Evilginx. Nessa técnica, o agressor posiciona um servidor entre a vítima e o site legítimo, interceptando o tráfego e clonando o conteúdo via proxy reverso. Apesar de eficaz, esse modelo gera alguns sinais detectáveis, como inconsistências de sessão e impressões digitais do navegador.
O Bluekit segue um caminho diferente e mais furtivo, utilizando o conceito de navegador intermediário (BitM – Browser-in-the-Middle). Em vez de apenas interceptar o fluxo entre vítima e site, a plataforma carrega a página de login legítima da Microsoft em um navegador controlado diretamente pelo atacante. O que o usuário vê não é um clone, mas a própria página real, “transmitida” para sua tela.
Para isso, o Bluekit tira proveito do rrweb, uma biblioteca JavaScript de código aberto originalmente criada para gravação e reprodução de sessões de usuário e análise de comportamento em produtos digitais. A ferramenta captura o DOM e as interações no navegador do atacante e retransmite, em tempo quase real, para a interface do visitante.
O resultado técnico é crucial: a vítima não interage com um site falso ou com uma versão proxy da página, mas com a própria página de login da Microsoft aberta na máquina do criminoso. Cada clique, tecla digitada e movimento do mouse é refletido no navegador do atacante, que, por sua vez, executa essas ações diretamente no serviço legítimo.
Sessão ativa vai para o atacante, não para o usuário
Quando a vítima conclui o processo de autenticação – incluindo a etapa de MFA -, a sessão que é efetivamente validada pertence ao navegador do criminoso. O usuário, na prática, está autenticando o atacante no serviço da Microsoft, e não a si próprio.
Isso significa que, ao fim do processo, quem ganha acesso à conta é o operador do Bluekit, com todos os privilégios associados à sessão: e-mail, arquivos, aplicações corporativas, dados pessoais ou corporativos, dependendo do tipo de conta comprometida (por exemplo, Microsoft 365 empresarial).
Essa arquitetura também representa um passo à frente em relação às defesas atuais. Proteções como as Credenciais de Sessão Vinculadas ao Dispositivo (DBSC), projetadas para limitar o reaproveitamento de sessões em outros ambientes, tornam-se ineficazes, já que toda a autenticação e uso da sessão ocorrem no mesmo navegador do atacante, do início ao fim. Não há “transporte” de cookies entre ambientes distintos – o que elimina um dos sinais típicos de detecção em ataques AitM tradicionais.
Duas fases antes mesmo de roubar as credenciais
O Bluekit não se limita a exibir uma tela falsa e capturar dados. Ele executa uma cadeia de validações e proteções para evitar a análise por pesquisadores e sistemas automatizados, atuando em duas fases principais.
Fase 1 – Qualificação da vítima
Antes de mostrar qualquer conteúdo de phishing, o Bluekit submete o visitante a um conjunto de verificações anti-análise em múltiplas camadas. Entre os mecanismos observados estão:
– Manipulação aleatória de filtros CSS para burlar técnicas de detecção baseadas em hash de pixel de capturas de tela;
– Um CAPTCHA personalizado, que imita a identidade visual de provedores conhecidos de proteção de tráfego, como grandes serviços de mitigação de ataques;
– Pacotes JavaScript massivos, com mais de 1 MB, ofuscados e rotacionados periodicamente para dificultar a engenharia reversa;
– Coleta detalhada de impressões digitais do navegador, incluindo quantidade de memória RAM, número de CPUs, resolução de tela, sinais de ambiente sem interface gráfica (headless) e outros indicadores de automação;
– Verificação de incompatibilidade de IP via WebRTC, capaz de identificar acessos provenientes de VPNs, proxies suspeitos ou ferramentas de análise de segurança.
Essas técnicas visam filtrar visitantes considerados “não legítimos” do ponto de vista do criminoso – como analistas de segurança, sandboxes, crawlers e scanners – exibindo conteúdo inofensivo ou interrompendo o fluxo antes do ataque propriamente dito.
Fase 2 – Entrega do navegador intermediário (BitM)
Se o visitante passa pelas barreiras iniciais, o Bluekit inicia a segunda fase: a entrega do fluxo da sessão do navegador do atacante.
Por meio de uma conexão WebSocket, o DOM da página de login da Microsoft é transmitido em tempo real, gerando na tela do usuário uma interface com perfeição de pixels, totalmente interativa. Não há diferenças visuais na página de login, nos elementos de interface ou no comportamento do formulário que possam ser facilmente identificadas pelo usuário comum.
Tudo o que a vítima digita – usuário, senha, códigos de MFA, cliques em botões, seleção de contas – é enviado de volta ao navegador do atacante. Esse navegador, por sua vez, reproduz o comportamento, autenticando-se de fato no serviço legítimo como se fosse a própria vítima diante do computador.
Painel do Bluekit: controle em tempo real das vítimas
No backend, o Bluekit oferece aos operadores um painel de administração com visão detalhada de todas as sessões ativas. Essa interface utiliza a mesma infraestrutura baseada em rrweb empregada na captura e transmissão do DOM.
Criminosos podem acompanhar, em tempo real, o fluxo de login de cada vítima, observar a digitação de credenciais, a etapa de MFA e até o que acontece depois da autenticação, como o acesso à caixa de e-mail, arquivos em nuvem e aplicações corporativas. Em demonstrações já circulando em canais privados, é possível ver o operador intervindo na sessão imediatamente após a autenticação, navegando em recursos da conta comprometida quase sem atraso perceptível.
Essa capacidade de monitorar e manipular sessões ao vivo transforma o modelo tradicional de phishing em algo muito mais próximo de um “controle remoto” da conta da vítima. Em vez de apenas roubar usuário e senha para uso posterior, o atacante aproveita o momento exato em que a MFA é validada, mantendo a sessão ativa e assumindo totalmente o perfil digital da vítima.
Consistência de sessão: a grande arma contra a detecção
Um dos principais diferenciais estruturais do Bluekit em relação a ferramentas como o Evilginx está na consistência da sessão do navegador. No modelo de proxy reverso, comum nos ataques AitM, o cookie ou token de sessão capturado é frequentemente reutilizado em outro ambiente de navegador, o que acaba gerando diferenças de impressão digital detectáveis por sistemas avançados de segurança.
Essas diferenças podem incluir mudança no user agent, resolução de tela, timezone, idioma, plugins, entre outros detalhes sutis. Muitas soluções modernas de proteção de identidade e acesso se baseiam exatamente nesse tipo de anomalia para identificar sinais de sequestro de sessão.
Com o Bluekit, essa brecha de detecção praticamente desaparece. Toda a sessão é criada, validada e utilizada no mesmo navegador controlado pelo criminoso. A transição da fase de login para o uso da conta ocorre sem qualquer migração de cookies ou tokens para outro ambiente, já que o atacante nunca sai do navegador original. Assim, o perfil de risco atribuído pela aplicação legítima ao dispositivo e à sessão tende a permanecer consistente, dificultando alertas automáticos.
Por que a MFA tradicional falha diante do Bluekit
A autenticação multifator é, há anos, recomendada como uma camada adicional de proteção contra o roubo de credenciais. No entanto, a arquitetura do Bluekit mostra, de forma contundente, os limites da MFA tradicional quando aplicada em cenários de phishing avançado.
Códigos enviados por SMS, aplicativos autenticadores, notificações push e até mesmo alguns métodos baseados em token físico têm em comum o fato de que o usuário continua confiando na interface apresentada na tela. Se essa tela é, na prática, o espelho do navegador do atacante, qualquer fator inserido para “comprovar” a identidade reforça apenas a autenticação da sessão controlada pelo criminoso.
Em outras palavras: a MFA continua funcionando perfeitamente – do ponto de vista do provedor de serviço -, mas está sendo usada no contexto errado. O provedor confirma que aquele fator adicional é válido, mas não sabe que está validando a sessão de um invasor, e não da própria vítima.
Somente abordagens de MFA que envolvem prova criptográfica forte de posse de dispositivo, atreladas diretamente ao hardware e ao contexto do navegador legítimo da vítima, têm alguma chance de mitigar esse tipo de ataque. Mesmo assim, a adoção em larga escala desse modelo ainda é limitada, especialmente em ambientes corporativos heterogêneos.
Impactos para empresas e usuários finais
Para empresas que utilizam serviços da Microsoft – especialmente ambientes Microsoft 365 – o Bluekit representa um risco direto para contas de e-mail corporativas, acesso a documentos confidenciais, aplicativos internos e dados sensíveis de clientes. Um acesso comprometido pode resultar em:
– Fraudes financeiras e desvio de pagamentos por meio de alteração de dados bancários em faturas;
– Campanhas de phishing interno altamente convincentes, enviadas de contas reais de colaboradores;
– Roubo de propriedade intelectual e documentos estratégicos;
– Escalada de privilégios dentro do ambiente corporativo, com possível comprometimento de administradores e sistemas críticos.
Para o usuário final, os danos variam desde o acesso indevido a e-mails pessoais, armazenamento em nuvem e serviços de assinatura até o uso da conta para golpes contra contatos próximos. A sofisticação da interface reduz a chance de o usuário perceber o ataque, o que aumenta o índice de sucesso e o potencial de prejuízos.
Como reduzir o risco diante de ataques como o Bluekit
Embora não exista uma solução única e infalível, algumas medidas podem reduzir significativamente a exposição a plataformas PhaaS avançadas como o Bluekit:
1. Educação contínua do usuário:
– Reforçar que links de login devem ser acessados preferencialmente digitando o endereço oficial no navegador ou usando favoritos confiáveis, e não a partir de e-mails ou mensagens recebidas.
– Incentivar a verificação de sinais sutis, como o endereço completo na barra do navegador e discrepâncias visuais, mesmo em páginas aparentemente legítimas.
2. Uso de autenticação forte baseada em chaves:
– Implementar métodos como FIDO2/Passkeys, que vinculam a autenticação ao dispositivo e ao navegador de forma criptográfica, dificultando ataques de navegador intermediário.
3. Monitoramento comportamental e de acesso:
– Adotar soluções de detecção de anomalias de login, avaliando geolocalização, horário, tipo de dispositivo e padrão de uso para apontar acessos suspeitos, mesmo que MFA tenha sido validada.
4. Reforço em gateways de e-mail e filtragem de URLs:
– Bloquear domínios recém-criados ou suspeitos, inspecionar redirecionamentos e analisar reputação de URLs para interromper grande parte das campanhas antes de chegarem ao usuário.
5. Políticas rígidas de privilégio mínimo:
– Limitar acesso de contas a apenas os recursos estritamente necessários. Assim, mesmo que uma conta seja comprometida, o impacto é reduzido.
Tendências futuras: profissionalização do PhaaS
O Bluekit ilustra uma tendência clara no submundo digital: a profissionalização e industrialização do phishing. Em vez de scripts rudimentares, surgem plataformas complexas, com painéis de controle, atualizações constantes, mecanismos anti-análise sofisticados e suporte a múltiplos alvos e idiomas.
Esse modelo “Phishing como Serviço” permite que criminosos com pouca habilidade técnica conduzam campanhas extremamente avançadas, bastando pagar pelo acesso à plataforma. O resultado é um aumento da frequência e da eficácia dos ataques, com barreiras de entrada cada vez menores.
É provável que, a partir do sucesso operacional do Bluekit, outras ferramentas semelhantes surjam ou que o próprio kit evolua para suportar mais provedores de identidade, integrações com outros serviços e novos mecanismos para driblar futuras defesas.
Conclusão: MFA não é o fim da conversa
A disseminação do Bluekit mostra que depender apenas de MFA tradicional é insuficiente em um cenário de ameaças que avança rapidamente em direção a técnicas de navegador intermediário. A proteção de contas sensíveis – pessoais e corporativas – passa, inevitavelmente, por uma combinação de autenticação forte, monitoramento inteligente, educação de usuários e políticas de acesso mais rigorosas.
A questão central não é se a MFA funciona, mas em qual contexto ela é aplicada. Enquanto o processo de autenticação continuar ocorrendo em um ambiente controlado pelo atacante, ferramentas como o Bluekit seguirão explorando a confiança do usuário na interface que vê na tela, transformando uma camada de segurança em mais um passo no fluxo do ataque.