Nova ameaça ao Gmail: golpe cria chave secreta que sobrevive à troca de senha
A segurança de uma conta de e-mail pode parecer restabelecida depois que o utilizador altera a palavra-passe e encerra as sessões abertas. No entanto, uma nova ferramenta utilizada por criminosos digitais mostra que essas medidas podem não ser suficientes em determinados ataques.
Batizado de iAuthFlow v2, o kit malicioso foi identificado em fóruns clandestinos em língua russa por investigadores da empresa de cibersegurança Abnormal. O sistema foi desenvolvido para capturar credenciais durante um ataque de phishing e, posteriormente, cadastrar uma chave de acesso (passkey) controlada pelo invasor.
O detalhe mais preocupante é que essa credencial permanece associada à conta mesmo depois de a vítima alterar a palavra-passe. Com isso, o criminoso pode tentar recuperar o acesso posteriormente sem precisar conhecer a nova senha escolhida pelo proprietário.
Como funciona o golpe contra contas do Google
O ataque começa de uma maneira bastante semelhante a campanhas tradicionais de phishing. A vítima recebe um link e é direcionada para uma página que imita o ambiente oficial de login do Google.
A diferença está no que acontece nos bastidores.
O iAuthFlow v2 utiliza uma estrutura intermediária que mantém um navegador controlado pelo criminoso em funcionamento num servidor. As informações introduzidas pela vítima são transmitidas em tempo real para o serviço legítimo.
Durante o processo, o utilizador pode fornecer:
- endereço de e-mail;
- palavra-passe;
- código utilizado na autenticação em duas etapas;
- outras informações solicitadas durante o processo de autenticação.
A infraestrutura criminosa funciona como uma espécie de intermediária entre a vítima e o serviço legítimo, permitindo que o atacante acompanhe e utilize o processo de autenticação.
O momento decisivo acontece após o login
Depois que a autenticação é validada, o golpe apresenta uma etapa de carregamento ou verificação para manter a vítima ocupada.
É nesse curto intervalo que ocorre a ação mais importante do ataque.
Segundo a análise da Abnormal, o sistema acessa as configurações de segurança da conta comprometida e registra uma nova passkey pertencente ao invasor.
A partir desse momento, o criminoso passa a contar com uma credencial adicional para tentar entrar na conta.
Por que trocar a senha pode não resolver o problema
A troca da palavra-passe continua sendo uma medida importante quando existe suspeita de comprometimento. Em ataques convencionais, ela pode interromper sessões existentes e invalidar determinados mecanismos utilizados pelo invasor para permanecer conectado.
O problema apresentado pelo iAuthFlow v2 é diferente.
Uma passkey funciona como uma credencial independente, vinculada à conta. Portanto, a alteração da senha não necessariamente elimina uma chave de acesso que tenha sido adicionada anteriormente.
Isso cria uma situação particularmente perigosa: a vítima pode seguir os procedimentos tradicionais de recuperação, acreditar que retomou o controlo e, ainda assim, deixar uma forma alternativa de autenticação nas mãos do criminoso.
O atacante, por sua vez, não precisa descobrir qual foi a nova senha definida pela vítima.
O que é uma passkey?
As passkeys foram desenvolvidas como uma alternativa mais segura às senhas tradicionais. Em vez de depender exclusivamente de uma combinação de caracteres, o sistema pode utilizar biometria ou credenciais criptográficas para confirmar a identidade do utilizador.
Essa tecnologia oferece vantagens de segurança, mas o episódio também demonstra que qualquer credencial associada a uma conta precisa ser monitorizada quando ocorre uma invasão.
Se uma pessoa não autorizada consegue cadastrar uma passkey durante um ataque, essa credencial pode continuar disponível mesmo depois da alteração da senha.
Uma credencial adicional pode manter o invasor conectado
O ponto central do problema não está necessariamente na segurança da passkey em si. A questão está no facto de uma chave desconhecida ter sido adicionada à conta durante o comprometimento.
Depois de recuperar temporariamente o controlo, a vítima pode remover sessões e modificar a senha, mas deixar a credencial maliciosa cadastrada.
Nesse cenário, o invasor passa a ter uma alternativa de autenticação.
Ferramenta é vendida como serviço para criminosos
A Abnormal encontrou referências ao iAuthFlow v2 em fóruns clandestinos utilizados por criminosos digitais.
O kit é comercializado no modelo de serviço e tinha preço inicial informado de US$ 10 mil, equivalente a aproximadamente R$ 55 mil no contexto apresentado pela investigação.
As ofertas encontradas indicavam versões direcionadas a diferentes plataformas, incluindo:
- Google;
- Microsoft;
- Apple, através do iCloud;
- LinkedIn.
A análise publicada pela empresa de segurança concentrou-se especificamente no funcionamento do sistema contra contas do Gmail.
Esse modelo de comercialização reduz a necessidade de que cada criminoso desenvolva sua própria infraestrutura. Em vez disso, ferramentas especializadas podem ser adquiridas e utilizadas em campanhas de ataque.
Investigação identificou o método sem executar o malware
A investigação da Abnormal teve como base vídeos de demonstração, registros operacionais e mensagens publicadas pelo desenvolvedor nos fóruns clandestinos.
Os investigadores não executaram diretamente a ferramenta durante os testes apresentados no estudo.
Mesmo assim, a documentação analisada permitiu compreender a sequência de ações atribuída ao iAuthFlow v2 e o risco relacionado ao cadastro de novas passkeys durante uma invasão.
A descoberta chama atenção justamente porque modifica uma recomendação tradicional para incidentes envolvendo contas comprometidas: simplesmente trocar a senha pode não ser suficiente.
O que fazer depois de uma suspeita de invasão
Quando existe qualquer indício de que uma conta foi comprometida, é importante realizar uma verificação mais ampla das configurações de segurança.
Além de modificar a palavra-passe, o utilizador deve procurar credenciais e mecanismos de acesso que não reconhece.
Entre as medidas recomendadas estão:
- verificar todas as passkeys associadas à conta;
- remover chaves de acesso desconhecidas;
- analisar as sessões e dispositivos conectados;
- verificar configurações relacionadas à segurança;
- procurar regras de encaminhamento automático de e-mails;
- conferir filtros que possam ter sido criados sem autorização;
- revisar outras formas de acesso associadas à conta.
Essa análise é especialmente importante para contas de e-mail, já que elas podem conter informações utilizadas para recuperar outros serviços.
Encerrar sessões não substitui uma auditoria da conta
Desconectar dispositivos e sessões continua sendo uma ação relevante, mas não deve ser tratada como a única etapa da recuperação.
Se o atacante tiver conseguido cadastrar uma credencial persistente, simplesmente eliminar a sessão atual pode apenas interromper temporariamente o acesso.
Por isso, depois de uma invasão, é necessário verificar quais mecanismos de autenticação permanecem associados à conta.
Um alerta para utilizadores e administradores
O caso do iAuthFlow v2 reforça uma mudança importante no cenário de segurança digital. As contas modernas podem utilizar diferentes métodos de autenticação simultaneamente, e cada um deles pode representar uma porta de entrada.
Para utilizadores comuns, isso significa que a recuperação de uma conta comprometida exige mais atenção do que apenas alterar a senha.
Já para administradores de sistemas e ambientes corporativos, o episódio reforça a importância de acompanhar credenciais, dispositivos, métodos de autenticação e configurações de encaminhamento.
Quanto maior for a quantidade de mecanismos vinculados a uma conta, maior é a necessidade de verificar cada um deles durante uma investigação de segurança.
Conclusão
O iAuthFlow v2 apresenta uma abordagem preocupante porque explora justamente uma etapa que muitas vítimas consideram resolvida depois de uma invasão: a recuperação da conta.
Ao utilizar phishing para obter os dados de autenticação e, em seguida, cadastrar uma passkey controlada pelo invasor, o esquema pode manter uma forma alternativa de acesso mesmo após a alteração da senha.
A principal lição é clara: trocar a palavra-passe é apenas uma parte da resposta a um comprometimento. É necessário também revisar as credenciais cadastradas, dispositivos autorizados, sessões ativas e configurações que possam ter sido alteradas durante o ataque.
No caso de contas de e-mail, essa verificação deve ser ainda mais cuidadosa, pois recuperar o acesso não significa necessariamente que todas as portas utilizadas pelo invasor foram eliminadas.