Evilginx: a nova geração de phishing — (demasiado) eficaz e temível

Em 2023, quase uma em cada duas empresas francesas (49 %) declarou ter sofrido pelo menos um ciberataque «bem-sucedido» nos últimos 12 meses, um valor que subiu face a 2022 (45 %). Para 60 % delas — o que faz dele a técnica mais usada pelos ciberatacantes — esse ataque foi phishing, quer se tratasse de spear phishing, smishing ou vishing. Estes ataques não ficam sem consequências: roubo de informação pessoal ou sensível (credenciais bancárias, registos), sequestro de contas ou perdas financeiras.

Num contexto em que as ciberameaças evoluem sem cessar, os hackers desenvolvem técnicas cada vez mais sofisticadas para comprometer a segurança de utilizadores, empresas e organizações. Entre estas ameaças, o Evilginx destaca-se como uma ferramenta muito eficaz e temível, capaz de contornar qualquer forma de autenticação multifator (MFA). Muito usado em campanhas de phishing, o Evilginx tornou-se uma ferramenta poderosa, e é fácil de usar com a GottaPhish!

O que é o Evilginx?

Em resumo, o Evilginx é uma ferramenta avançada de phishing, muito usada em campanhas de phishing para contornar a MFA. Funciona como um proxy man-in-the-middle (MITM), permitindo aos atacantes intercetar e manipular os dados trocados entre os utilizadores e os sites legítimos: credenciais, cookies de sessão e outra informação sensível.

O Evilginx é geralmente usado em ataques conhecidos como Attacker-in-the-Middle (AiTM), uma forma avançada de phishing capaz de derrotar aqueles conhecidos esquemas de autenticação de dois fatores que, supostamente, nos protegem de qualquer acesso não autorizado em linha.

Qual é a diferença para o phishing «clássico»?

As tentativas de phishing «clássicas» e as realizadas com o Evilginx são, de facto, diferentes.

No phishing dito clássico, os cibercriminosos reproduzem modelos HTML que se assemelham a páginas de acesso como as que usamos no Outlook, LinkedIn, no nosso banco, etc., imitando o seu aspeto o mais realisticamente possível. O seu objetivo é enganar a vítima para que introduza as suas credenciais, depois roubadas e registadas pelos atacantes.

Com o Evilginx, em vez de mostrar simples modelos parecidos, o cibercriminoso monta um site de phishing que imita na perfeição um site legítimo. Quando um utilizador introduz as suas credenciais e o seu código de autenticação multifator (MFA), o Evilginx interceta essa informação e retransmite-a em tempo real para o site autêntico. O utilizador é assim redirecionado para o site verdadeiro sem desconfiar de nada, enquanto o atacante obtém acesso à conta ao mesmo tempo sem ser detetado.

Em certo sentido, o Evilginx é um relé entre o utilizador enganado e o site autêntico, ao mesmo tempo que recolhe todos os dados trocados entre as duas partes.

Porque não funciona a autenticação de dois fatores?

Um pormenor importante: o Evilginx interceta também os tokens de sessão gerados após a autenticação. Quando a vítima introduz a sua informação de acesso e tem de fornecer o código de dois fatores, receberá de facto o seu código, mas sem saber que o Evilginx continua no meio.

Como funciona? A cada autenticação de dois fatores é gerado um token sob a forma de cookie, e esse cookie é intercetado pelo Evilginx e depois guardado. E é isso que permite ao atacante contornar a proteção MFA habitual.

Infelizmente, nesta fase o cibercriminoso tem tudo o que é preciso para entrar nas contas da vítima, sem nunca ser travado pela autenticação de dois fatores.

Como exemplo, um atacante pode criar uma página de acesso falsa que imita a de um banco. Quando a vítima introduz o utilizador, a palavra-passe e o código MFA, o atacante (usando o Evilginx como proxy) retransmite essa informação para o site autêntico do banco. E, uma vez bem-sucedida a autenticação, o atacante interceta os cookies de sessão, que pode depois reutilizar para se fazer passar pela vítima em acessos futuros ao banco, mesmo depois de verificada a autenticação de dois fatores.

Como se proteger contra o Evilginx?

É verdade que este proxy malicioso pode assustar por ser quase invisível, mas há formas simples de se proteger.

1. Verifique o domínio do site

O que o Evilginx nunca conseguirá fazer é ter o mesmo nome de domínio do site verdadeiro. Será sempre ligeiramente diferente, porque os atacantes têm de registar o seu próprio domínio, e por isso deve sempre verificar a legitimidade do domínio na barra de endereços.

Por exemplo, se um atacante visar o LinkedIn, poderá registar um domínio como linkediin.com ou llnkedin.com em vez do verdadeiro: linkedin.com.

2. Use uma chave de segurança U2F

Outra forma de se proteger é usar uma chave de segurança U2F (Universal Second Factor), um dos métodos mais seguros para a autenticação de dois fatores. É uma chave de segurança física para MFA que proporciona segurança adicional em linha.

Funciona assim: a chave comunica diretamente com o site e, se detetar uma diferença entre o nome de domínio da barra de endereços e o do site verdadeiro, então a comunicação é interrompida.

3. Forme e sensibilize para as ciberameaças

O verdadeiro perigo do Evilginx é que basta um único colaborador enganado para comprometer toda a empresa e todos os seus dados confidenciais. Por isso é muito importante formar os colaboradores e sensibilizá-los para os riscos do phishing para prevenir qualquer falha de segurança dentro da empresa.

Na GottaPhish oferecemos exatamente este tipo de formação com fins de sensibilização, porque acreditamos que um grande número de ciberataques poderia ser evitado se os colaboradores estivessem mais bem formados.

Oferecemos tanto ferramentas de phishing para enviar e-mails personalizados aos colaboradores como cursos de formação curtos e longos em plataformas de e-learning adaptados às necessidades de cada um.

Fique à vontade para ver as nossas ferramentas de sensibilização!

Como experimentar o Evilginx com a GottaPhish?

Uma das desvantagens de usar o Evilginx sozinho é que é uma ferramenta complexa que exige muito tempo de preparação. Montá-la exige, de facto, vários passos técnicos, nomeadamente a configuração manual de phishlets (módulos específicos concebidos para imitar fielmente os sites-alvo). Sem estas configurações precisas, o Evilginx não consegue intercetar eficazmente as credenciais ou as sessões dos sites-alvo, o que faz dele uma ferramenta poderosa mas pouco acessível a um utilizador inexperiente.

É por isso que, na GottaPhish, lhe oferecemos a nossa ferramenta GottaPhish Evilginx: rápida e automatizada.

Experimente-a pedindo-nos uma demonstração!