As empresas que protegem as contas dos usuários por meio da autenticação de dois fatores (2FA) devem tomar a medida adicional de se defender contra proxies de phishing em tempo real, que permitem que criminosos contornem as medidas de autenticação multifator (MFA) e assumam o controle das contas. Felizmente, os clientes do F5 BIG-IP Access Policy Manager (APM) têm a opção simples de adicionar o F5 Distributed Cloud Bot Defense para bloquear esses proxies de forma eficaz.
“Ao implementar o Distributed Cloud Bot Defense, os usuários podem se proteger contra ataques de proxy de phishing em tempo real que usam automação para contornar as proteções de MFA.”
O que são proxies de phishing em tempo real?
Um ataque de proxy de phishing em tempo real começa com uma mensagem de phishing enviada por SMS, e-mail ou página da web. A mensagem de phishing contém um link que direciona o usuário para um domínio controlado pelo invasor, projetado para encaminhar todas as solicitações à aplicação-alvo. Do ponto de vista do usuário, tudo parece legítimo, exceto o nome de domínio, que geralmente é escolhido para se parecer muito com o verdadeiro.
Enganado pelo proxy de phishing, o usuário insere suas credenciais. No caso da autenticação de fator único, a inserção dessas credenciais é suficiente para que o invasor obtenha acesso à conta. No caso da autenticação de dois fatores (2FA), o proxy de phishing em tempo real envia as credenciais ao aplicativo legítimo, acionando a solicitação de 2FA. Infelizmente, como o usuário ainda acredita estar interagindo com o aplicativo legítimo, é provável que prossiga com a 2FA e aceite qualquer solicitação apresentada.
Proxies reversos de phishing podem comprometer praticamente todas as formas de autenticação de dois fatores (2FA):
- 2FA baseada em serviço de mensagens curtas (SMS). Em uma 2FA por SMS, o sistema de autenticação envia ao usuário uma mensagem de texto com uma senha de uso único (OTP), que ele insere no aplicativo. Durante um ataque de proxy de phishing, o usuário insere a senha diretamente no aplicativo malicioso, que a encaminha ao aplicativo legítimo, concedendo acesso ao criminoso. A mesma lógica se aplica à 2FA quando a OTP é enviada por e-mail. Se o mecanismo exigir que o usuário insira a OTP em um aplicativo, um ataque de proxy de phishing em tempo real poderá obter acesso a essa OTP.
- 2FA com token de hardware. Os tokens de hardware, que são dispositivos físicos que geram códigos em intervalos de tempo fixos seguindo um algoritmo criptográfico, têm a mesma finalidade que os OTPs na 2FA baseada em SMS. Consultando o dispositivo, o usuário digita o código no aplicativo. Se for enganado por um proxy de phishing em tempo real e digitar esse código em um aplicativo malicioso, o invasor obtém acesso à conta. De certa forma, o envio do token por SMS, e-mail ou hardware não faz diferença para o proxy de phishing em tempo real. (Em contrapartida, as chaves de hardware FIDO2/U2F não são suscetíveis a phishing, pois o navegador colabora com a chave de hardware na vinculação à origem.)
- 2FA baseada em aplicativo. Aplicativos autenticadores para dispositivos móveis, como o Google Authenticator e o Duo Mobile, geram tokens de forma muito semelhante aos dispositivos de hardware. Novamente, espera-se que os usuários digitem o token no aplicativo. Se o usuário for induzido a digitar o token em um aplicativo malicioso, o invasor obterá acesso ao aplicativo verdadeiro.
- 2FA baseada em notificações push. Certamente, qualquer mecanismo de 2FA que exija que o usuário digite uma OTP em um aplicativo pode ser comprometido se o usuário for induzido a inserir a OTP em um aplicativo malicioso. Mas e a 2FA baseada em notificações push, que não exige que o usuário digite uma OTP em um aplicativo? Em um sistema baseado em notificações push, quando o aplicativo recebe uma solicitação de login, ele envia uma solicitação a um sistema de notificações push, fazendo com que o usuário receba uma notificação em seu dispositivo móvel. O usuário só precisa clicar uma vez para aceitar a solicitação. Feito isso, o sistema de notificações push faz uma chamada de API de retorno ao aplicativo, indicando que a autenticação por push foi bem-sucedida, e o aplicativo conclui o processo de autenticação, concedendo acesso ao usuário. Nesse cenário, o proxy de phishing nunca recebe o token, pois ele é enviado diretamente ao aplicativo. Mesmo assim, o criminoso obtém acesso à conta porque o aplicativo acaba enviando o token da sessão autenticada por meio do proxy, o que permite que o invasor o capture e o utilize para acessar o aplicativo com a identidade da vítima.
Proxies de phishing em tempo real como serviço
Devemos esperar um aumento nos ataques de proxy de phishing em tempo real, pois os serviços de proxy de phishing (PhaaS), como EvilGinx, Muraena e Modlishka, tornam extremamente fácil para os criminosos realizar esses ataques, fornecendo tudo de que precisam para lançá-los:
- Modelos de e-mail de phishing que induzem os usuários a acessar sites maliciosos
- Servidores web hospedados que imitam os aplicativos-alvo
- Bancos de dados para armazenar credenciais roubadas
- Monitoramento em tempo real
- Mecanismos de defesa para impedir a atuação de pesquisadores de segurança
- Documentação e atendimento ao cliente
Como o Distributed Cloud Bot Defense mitiga proxies de phishing em tempo real
O tráfego que passa por um proxy de phishing apresenta características específicas: o nome de domínio não corresponde ao do site verdadeiro, o HTML e o JavaScript podem ser alterados para acomodar a mudança do nome de domínio, e os padrões de temporização e as assinaturas TLS podem ser modificados. Usando muitos dos mesmos sinais do lado do cliente e da rede empregados para distinguir bots de humanos, o Distributed Cloud Bot Defense consegue detectar as anomalias que diferenciam os proxies de phishing em tempo real e, assim, neutralizar uma das ameaças mais comuns à MFA.
Por que as empresas devem combinar BIG-IP APM e Distributed Cloud Bot Defense para se proteger contra phishing em tempo real
O BIG-IP APM é uma solução flexível e de alto desempenho para o gerenciamento de acesso a aplicativos e APIs. Ele fornece serviços de autenticação aos aplicativos ao conectar serviços de identidade corporativa, como Active Directory, provedores LDAP e RADIUS, a protocolos de autenticação modernos, como SSO, federação de acesso, OAuth 2.0, SAML e OIDC.
O BIG-IP APM oferece suporte à autenticação reforçada, disponibilizando autenticação de dois fatores (2FA) com senha de uso único (OTP) via SMS pronta para uso. Além disso, o BIG-IP APM integra-se à maioria das principais soluções de autenticação multifator (MFA), incluindo as da Cisco Duo, Okta, Azure AD, entre outras.
Devido ao papel central que o BIG-IP APM desempenha no processo de autenticação de muitas empresas, ele é o local ideal para implementar o Distributed Cloud Bot Defense e proteger os usuários contra ataques de proxy de phishing em tempo real que usam automação para contornar as proteções de MFA.
Próximas etapas
Para obter mais detalhes técnicos, consulte o artigo do F5 DevCentral sobre como configurar o Distributed Cloud Bot Defense no BIG-IP APM
Sobre o autor
Publicações relacionadas no blog
Entrega e proteção de agentes de IA em fábricas de IA: F5 para a arquitetura de referência NVIDIA OpenShell para agentes de IA seguros
As soluções da F5 ampliam a Arquitetura de Referência NVIDIA OpenShell para agentes de IA seguros.
Como medir – e minimizar – o custo total de propriedade do seu Kubernetes
O Kubernetes pode ser baixado e executado gratuitamente, mas sua manutenção está longe de não ter custos. Assim como outras grandes plataformas de código aberto que são “gratuitas” apenas em um sentido simplista, o Kubernetes quase certamente exigirá investimentos para ser implantado e operado.
As-Code: a pilha de TI contínua
Infraestrutura, configuração, pipeline, operações. De repente, tudo é “como código”. Lori MacVittie busca esclarecer a terminologia e identificar os diferentes componentes de uma stack contínua de TI.
O estado da entrega de aplicações em 2017: automação, APIs e DevOps
Explore o relatório State of Application Delivery de 2017. Leia o blog retrospectivo da F5 sobre o início da ascensão das redes declarativas e dos pipelines de DevOps.
DevOps Summit: onde a rede foi convidada para a festa
No DevOps Summit NY, falou-se muito não apenas sobre DevOps, mas também sobre contêineres, IoT e microsserviços. As sessões se concentraram não só na mudança cultural necessária para crescer em escala com uma abordagem DevOps, mas também fizeram questão de incluir...
F5 e Nutanix convergem em infraestrutura no .NEXT
Aplicações empresariais como Microsoft SharePoint e Exchange, juntamente com a VDI, continuam sendo a espinha dorsal da sua empresa. A produtividade, embora não seja tão atraente quanto o lucro, é um fator essencial para o sucesso das operações empresariais atuais. Deixar de...