Samuel Vitor 
Microsoft 365 — Um novo kit de phishing chamado GhostCode explora o mecanismo legítimo de autorização por dispositivo do OAuth para persuadir usuários a inserir códigos e, assim, entregar tokens de autenticação aos invasores, que transformam esse acesso em persistência dentro de tenants corporativos. O impacto: acesso tipo SSO e registro automático de dispositivos maliciosos.
Como o ataque usa o fluxo de dispositivo para capturar tokens
GhostCode encena uma falsa interação de dispositivo que pede ao usuário um código exibido na tela, exatamente como em logins de TVs, impressoras ou IoT. Ao inserir o código na página de autenticação da Microsoft, a vítima completa a MFA normalmente, mas autentica um dispositivo controlado pelo atacante.
O processo aproveita o grant de OAuth 2.0 chamado device authorization: o kit obtém um código de dispositivo legítimo junto ao serviço de autorização da Microsoft e convence a vítima a validá‑lo, entregando em troca os tokens que permitem controle remoto sobre a conta.
“Obter um Primary Refresh Token (PRT) por meio do abuso de código de dispositivo dá aos atores de ameaça acesso praticamente equivalente a SSO ao ambiente Microsoft 365 da vítima pelo tempo de vida do PRT, incluindo serviços não protegidos por políticas de Conditional Access que exijam dispositivo compatível”, alertou a equipe que analisou a campanha, observando que o PRT tem persistência padrão de 14 dias.
Persistência automatizada e medidas de defesa práticas
Em uma sessão de exploração observada, a campanha realizou nove chamadas de API em 78 segundos e registrou três dispositivos nos instantes 28, 53 e 77 segundos após a autenticação, segundo os investigadores. Um dos dispositivos chegou a ser inscrito no Microsoft Intune e permaneceu no tenant até remoção manual.
Além do uso de PRTs — credenciais poderosas que duram 14 dias por padrão — os operadores aplicaram técnicas de evasão como ofuscação de HTML, redirecionamentos criptografados, checagens anti‑bot e integração com Cloudflare Turnstile para manter ferramentas de proteção fora da página de phishing.
O que você acha? Você acha que as empresas estão preparadas para detectar esse tipo de abuso de códigos de dispositivo? Para acompanhar mais, acesse nossa editoria.
Perguntas Frequentes
Como o GhostCode consegue sequestrar contas do Microsoft 365 usando códigos de dispositivo?
O GhostCode usa o fluxo de autorização por dispositivo do OAuth para Microsoft 365, obtendo um código legítimo que é apresentado ao usuário. Ao inserir o código na página de autenticação da Microsoft, a vítima completa a MFA para um dispositivo que, na verdade, pertence ao atacante; isso permite a captura de tokens e o registro de dispositivos maliciosos.
Que tipo de credenciais os atacantes obtêm e por quanto tempo elas são válidas?
Os atacantes podem obter um Primary Refresh Token (PRT) em ambientes Microsoft 365, e o PRT fornece acesso quase equivalente a SSO. O PRT tem vida útil padrão de 14 dias, período em que serviços não protegidos por políticas de Conditional Access podem ser acessados sem nova autenticação.
Como organizações podem detectar e bloquear uma campanha como a do GhostCode?
Empresas devem monitorar registros do Device Registration Service e correlacionar autenticações por código de dispositivo com requisições que usem o user agent python-requests; indicadores observados incluem múltiplos registros de dispositivo em uma única sessão não interativa e sequência automatizada de chamadas API em menos de 90 segundos.
