Forg365: nova plataforma de PhaaS usa IA para sequestrar contas Microsoft 365
Uma operação de phishing-as-a-service (PhaaS) batizada de Forg365 está ganhando espaço no submundo do cibercrime ao mirar diretamente em contas do Microsoft 365. Diferente de campanhas tradicionais, o serviço combina técnicas avançadas de adversário-no-meio (AiTM), abuso de código de dispositivo e geração de conteúdo com apoio de inteligência artificial para aumentar a taxa de sucesso dos ataques e escalar operações maliciosas com pouco esforço humano.
Além dos vetores de ataque sofisticados, o Forg365 oferece aos criminosos uma extensão de navegador que garante acesso contínuo aos serviços Microsoft vinculados às contas comprometidas, evitando a necessidade de novas autenticações e tornando a detecção muito mais difícil para equipes de segurança.
Como o Forg365 foi identificado
A equipe de pesquisa da empresa de segurança de e-mail ZeroBEC começou a desvendar a operação ao analisar e-mails de phishing que se disfarçavam como documentos de negócios legítimos. As mensagens eram elaboradas para reproduzir com alto nível de fidelidade comunicações de serviços confiáveis, o que aumenta a probabilidade de o usuário clicar sem desconfiar.
Um dos pontos mais preocupantes é o uso de provedores legítimos de envio de e-mail, como Amazon SES e SendGrid, para disparar as campanhas maliciosas. Ao misturar infraestrutura criminosa com serviços amplamente utilizados por empresas sérias, o Forg365 consegue diluir seu tráfego de phishing no meio do fluxo normal de e-mails corporativos, dificultando o bloqueio automático por filtros de segurança.
O que a plataforma Forg365 oferece ao criminoso
O Forg365 não é apenas um kit de phishing; ele funciona como um ecossistema completo para roubo e exploração de contas Microsoft 365. Entre os recursos principais estão:
– Phishing com código de dispositivo (device code phishing)
– Ataques AiTM com proxy para captura de sessões
– Geração de conteúdo de e-mail com auxílio de IA
– Gerenciamento de tokens de acesso e cookies de sessão
– Módulos de pós-comprometimento para exploração das contas invadidas
No painel da plataforma, o operador pode criar novas campanhas de phishing, gerenciar links maliciosos, configurar aplicativos OAuth fraudulentos, cadastrar perfis SMTP para envio de e-mails e acionar a IA para produzir textos de phishing altamente convincentes e personalizados para diferentes alvos ou setores.
IA como motor para escalar o crime digital
A integração de IA ao painel do Forg365 não é mero enfeite: ela é o coração do modelo de negócio. Ao automatizar a criação de iscas – desde linhas de assunto persuasivas até o corpo do e-mail adaptado ao contexto da vítima – a plataforma reduz drasticamente o tempo e o custo que um atacante precisa investir em cada campanha.
Segundo os pesquisadores, isso tem um efeito duplo:
1. Barateia a produção de conteúdo de phishing sob medida, com mensagens que parecem escritas por pessoas reais.
2. Barateia também o desenvolvimento e a personalização de plataformas PhaaS, permitindo que mais criminosos, com pouco conhecimento técnico, tenham acesso a ferramentas sofisticadas.
O painel ainda oferece um módulo de “inteligência de contas”, que permite acompanhar o que está acontecendo dentro das caixas de e-mail comprometidas, e um sistema de monitoramento de palavras-chave. Esse recurso busca automaticamente, nos e-mails da vítima, termos pré-configurados (como “fatura”, “pagamento”, “acesso”, “senha temporária” ou nomes de sistemas internos), ajudando o atacante a identificar rapidamente oportunidades de fraude financeira ou de movimentação lateral na rede corporativa.
ForgCookie: extensão para acesso persistente
Para manter o controle sobre as contas capturadas, o Forg365 disponibiliza aos operadores uma extensão de navegador chamada ForgCookie. Compatível com Google Chrome, Microsoft Edge e Brave, ela foi projetada para atualizar, de forma automática, os cookies de SSO (single sign-on) da Microsoft.
O mecanismo funciona da seguinte forma: a extensão se conecta ao backend do Forg365, solicita os dados da conta comprometida, limpa cookies de sessão antigos e inicia um fluxo OAuth silencioso no navegador, com o objetivo de capturar novos cookies válidos. Esse ciclo garante que o atacante continue autenticado nos serviços Microsoft associados à conta da vítima, mesmo que a sessão inicial expire.
Na prática, isso significa acesso persistente ao e-mail, ao OneDrive, ao SharePoint, ao Teams e a outros serviços corporativos, sem que o usuário comprometido perceba atividades suspeitas no momento em que elas acontecem.
Rotas de ataque: código de dispositivo e AiTM
O Forg365 utiliza principalmente duas rotas para comprometer contas:
1. Phishing com código de dispositivo
Nessa abordagem, o usuário é induzido a inserir um código de dispositivo em uma página legítima da Microsoft, dentro de um fluxo normal do OAuth 2.0. O que a vítima não percebe é que, ao autorizar aquele dispositivo, ela está na verdade concedendo acesso a um aparelho ou sessão controlada pelo criminoso. Como o processo se apoia em recursos oficiais, a aparência de legitimidade é muito alta.
2. Phishing adversário-no-meio (AiTM)
Aqui, a plataforma usa um proxy intermediário entre a vítima e o site de login da Microsoft. Quando o usuário digita suas credenciais e passa pela autenticação – mesmo com MFA habilitado – o proxy captura os cookies de sessão e outros tokens necessários para se passar pelo usuário. O atacante, então, reutiliza esses cookies para se conectar à conta como se fosse a própria vítima, contornando mecanismos tradicionais de autenticação.
Mecanismos AntiBot e evasão de análise
Ciente de que pesquisadores de segurança e empresas tentariam analisar sua infraestrutura, o Forg365 inclui um módulo AntiBot bastante robusto. Entre os recursos destacados estão:
– Redirecionadores criptografados com AES
– Mecanismos de detecção de bots automatizados
– Armadilhas para depuradores utilizados em análise de malware
– Verificações de execução em sandbox
– Código polimórfico, que se altera periodicamente para evitar assinaturas estáticas
Outro detalhe importante: quando a plataforma detecta acesso partindo de VPNs ou ambientes suspeitos, imediatamente redireciona o usuário para conteúdo aparentemente benigno. Isso dificulta a coleta de evidências e complica o trabalho de analistas que tentam mapear a infraestrutura de ataque.
Recomendações técnicas para defesa
Diante desse cenário, a ZeroBEC recomenda que organizações revisem com cuidado o uso de autenticação por código de dispositivo da Microsoft. Se esse tipo de autenticação não for estritamente necessário, a orientação é restringi-la ao máximo ou até desativá-la, reduzindo a superfície de ataque explorável pelo Forg365.
Além disso, é essencial monitorar de forma contínua os logs do Microsoft Entra, com foco em:
– Eventos de autenticação com código de dispositivo
– Criação e alteração de regras de caixa de correio
– Novos logins a partir de dispositivos desconhecidos
– Atividade anômala do Microsoft Authentication Broker
– Novas concessões OAuth, principalmente para aplicativos que não fazem parte do inventário oficial de TI
Em casos de suspeita de comprometimento, a resposta deve ser imediata: revogar todos os tokens de acesso, invalidar sessões ativas, forçar redefinição de senhas e revisar políticas de MFA. Quanto menor o tempo entre a detecção e a revogação, menor o espaço de manobra do atacante dentro do ambiente da organização.
Como reduzir o impacto do PhaaS no dia a dia da empresa
Embora a tecnologia por trás do Forg365 seja avançada, muitas brechas exploradas por esse tipo de plataforma continuam ligadas a falhas básicas de governança e conscientização. Algumas ações práticas que ajudam a reduzir o risco:
– Segmentar acessos: não conceder privilégios administrativos desnecessários a contas de usuário comuns. Quanto menor o nível de acesso da conta comprometida, menor o estrago possível.
– Revisar MFA: garantir que a autenticação multifator esteja ativada em todas as contas críticas, utilizando preferencialmente métodos mais fortes (como chaves de segurança físicas ou aplicativos autenticadores com proteção adicional).
– Inventário de aplicativos OAuth: manter uma lista clara de quais aplicativos têm permissão para acessar dados corporativos via OAuth e revisar periodicamente essas permissões.
– Monitoramento comportamental: investir em soluções que analisem comportamento anômalo de login, como acessos em horários atípicos, de regiões geográficas improváveis ou com padrões de uso diferentes do histórico do usuário.
Treinamento de usuários em tempos de IA
Com o uso intensivo de IA na criação de e-mails de phishing, os sinais clássicos de fraude – gráficos mal feitos, erros grosseiros de digitação, textos genéricos – estão desaparecendo. As iscas passam a ser mais bem escritas, contextualizadas e adaptadas à linguagem da empresa ou do setor.
Por isso, programas de conscientização precisam ser atualizados para essa nova realidade, abordando pontos como:
– Desconfiar de solicitações urgentes relacionadas a pagamento, acesso a sistemas ou mudança de credenciais.
– Confirmar por canais paralelos (telefone, chat corporativo) solicitações sensíveis recebidas por e-mail, especialmente quando envolvem aprovações financeiras ou compartilhamento de documentos estratégicos.
– Verificar com atenção o endereço real dos links antes de clicar, passando o mouse sobre eles para ver a URL completa.
– Entender que até e-mails com aparência impecável podem ser falsos, principalmente quando solicitam login em portais da empresa ou da Microsoft.
Postura proativa: do SOC ao conselho
A sofisticação de operações como o Forg365 reforça que phishing e comprometimento de contas não são mais apenas um “problema de TI”, mas um risco estratégico para o negócio. A perda de uma conta Microsoft 365 pode significar acesso a contratos, dados de clientes, informações financeiras e propriedade intelectual.
Por isso, é importante que:
– O SOC (Centro de Operações de Segurança) tenha processos claros para detecção, triagem e resposta a incidentes envolvendo contas do Microsoft 365.
– A área de TI trabalhe em conjunto com governança e compliance para estabelecer políticas de uso de e-mail, autenticação e acesso a dados.
– A alta gestão entenda os riscos de plataformas PhaaS e apoie investimentos em segurança de identidade, monitoramento e treinamento contínuo.
Preparando-se para a próxima geração de golpes
O surgimento do Forg365 mostra que o crime cibernético está profissionalizado e que modelos “as-a-service” chegaram com força também ao mundo do phishing. Com IA ajudando tanto criminosos quanto defensores, o cenário tende a ficar ainda mais dinâmico.
Organizações que querem se proteger precisam combinar tecnologia, processo e cultura:
– Tecnologia, para detectar padrões anômalos e bloquear automaticamente atividades suspeitas.
– Processos, para responder rapidamente a incidentes e reduzir o tempo em que o atacante permanece dentro do ambiente.
– Cultura, para que cada colaborador se veja como parte essencial da linha de defesa contra golpes que exploram engenharia social.
Ao entender em detalhes como plataformas como o Forg365 operam, empresas podem ajustar seus controles, revisar suas superfícies de ataque e se preparar para um contexto em que o phishing não é mais amador – mas um serviço profissional, automatizado e alimentado por inteligência artificial.