Além do MITM: O Perigo Crescente dos Ataques Adversário-no-Meio

É quase certo que já ouviu falar de ataques man-in-the-middle (MITM). Mas recentemente surgiu um novo tipo de ataque, semelhante mas mais avançado e perigoso: adversary-in-the-middle (AITM).

Os dois tipos de ataque são estruturalmente semelhantes. Mas a sua mecânica, sofisticação e capacidades são decididamente diferentes. Para os administradores de TI, compreender esta distinção e como cada tipo de ataque opera é crucial para manter os seus sistemas e dados seguros.

O que é um ataque de homem no meio?

Ataques MITM são uma técnica de longa data para intercetar informações valiosas em trânsito. Neste cenário, um ator malicioso retransmite secretamente e possivelmente altera a comunicação entre duas partes que acreditam estar a comunicar diretamente entre si. Pense nisso como alguém a ouvir uma conversa privada e, ocasionalmente, a intervir com informações enganosas.

Os ataques MITM exploram normalmente redes não seguras ou mal protegidas, como o Wi-Fi público. Podem também depender de DNS spoofing, ARP poisoning, ou SSL stripping para intercetar o tráfego. O atacante pode capturar credenciais de login, cookies de sessão ou dados sensíveis em trânsito. No entanto, a maioria dos serviços web modernos utiliza HTTPS e outros protocolos de encriptação que tornam os ataques MITM tradicionais cada vez mais difíceis de executar com sucesso.

O que é um ataque adversário-no-meio?

ataques AITM são a próxima evolução das táticas MITM: mais sofisticados, mais direcionados e mais perigosos. Num ataque AITM, o adversário não se limita a interceptar passivamente o tráfego. Em vez disso, manipula ativamente o processo de autenticação, o que o torna capaz de contornar os esquemas de autenticação multifator (MFA).

Os ataques AITM geralmente envolvem campanhas de phishing que direcionam os utilizadores para um servidor proxy controlado pelo atacante. Este proxy fica entre o utilizador e o serviço legítimo (por exemplo, Microsoft 365 ou Google Workspace), capturando credenciais e tokens de sessão em tempo real. Como o atacante está a retransmitir a sessão ao vivo, pode contornar a MFA capturando o token após o utilizador concluir o segundo passo de autenticação.

Principais diferenças entre MITM e AITM

Porque o AITM é mais perigoso

Os ataques AITM são particularmente perigosos porque exploram a confiança na camada de aplicação. Mesmo que a sua organização imponha MFA, o AITM pode torná-lo ineficaz. Uma vez que um atacante tenha um token de sessão válido, pode falsificar a identidade do utilizador sem precisar de se reautenticar.

Além disso, os ataques AITM são mais difíceis de detetar. Uma vez que o atacante está a retransmitir tráfego legítimo, as ferramentas tradicionais de monitorização de rede podem não sinalizar a atividade como suspeita. O utilizador vê uma página de login familiar, completa a MFA e continua, sem saber que a sua sessão foi sequestrada.

Exemplos do mundo real

Ataques AITM não são teóricos — estão a acontecer neste momento.

• Em 2024, Microsoft 365 foi alvo de atacantes que usaram uma ferramenta de phishing como serviço (PhaaS) chamada Rockstar 2FA. Um funcionário da Microsoft foi enganado a autenticar-se através de um site falso, entregando o seu token de sessão no processo.
• Storm-0485, um conhecido ator de ameaça, tem utilizado técnicas AITM para recolher credenciais em grande escala. As suas campanhas frequentemente utilizam e-mails falsos de verificação do LinkedIn e URLs ofuscados para atrair utilizadores a cederem acesso.

A frequência dos ataques AITM está a aumentar rapidamente devido à sua capacidade de contornar controlos de acesso tradicionais, como MFA e protocolos de encriptação, como HTTPS.

Como defender-se contra AITM

Uma plataforma de cibersegurança moderna e multilayered como BarracudaONE fornece a melhor defesa contra AITM e outros ataques sofisticados. Uma forte proteção de e-mail como Barracuda Email Protection permite-lhe identificar e bloquear tentativas iniciais de phishing, enquanto uma poderosa segurança de rede como Barracuda Network Protection oferece controlos avançados de acesso à rede de confiança zero que vão além da MFA para identificar e bloquear o acesso não autorizado a recursos, mesmo quando são apresentadas credenciais legítimas.