O Kali365 representa uma nova geração de ataques de phishing que não depende do roubo direto de senhas para comprometer contas corporativas. Em vez disso, os criminosos exploram um mecanismo legítimo da Microsoft, conhecido como Device Code Flow, para convencer a vítima a autenticar sua própria conta em uma página oficial da empresa. O resultado é o roubo de tokens OAuth, que permitem acesso contínuo aos recursos do Microsoft 365 sem que a senha precise ser descoberta.
Essa abordagem torna o ataque especialmente perigoso porque utiliza um fluxo de autenticação confiável, dificultando a identificação tanto pelos usuários quanto por soluções tradicionais de segurança de e-mail. Em muitos casos, a vítima acredita estar realizando um procedimento legítimo para visualizar um documento compartilhado ou concluir uma assinatura eletrônica.
Nos últimos meses, pesquisadores de segurança e plataformas de análise de malware, como a ANY.RUN, observaram um crescimento significativo desse tipo de campanha direcionada a ambientes corporativos. O foco dos criminosos deixou de ser apenas capturar credenciais e passou a explorar diretamente os mecanismos modernos de autenticação utilizados por organizações que adotam serviços em nuvem.
O que é o Kali365 e como funciona o ataque por código de dispositivo
O Kali365 é um sofisticado kit de phishing desenvolvido para abusar do Device Code Flow, um método oficial de autenticação utilizado pelo Microsoft Entra ID (antigo Azure Active Directory).
Originalmente, esse fluxo foi criado para dispositivos com capacidade limitada de entrada de texto, como smart TVs, consoles, equipamentos IoT e terminais especializados. Em vez de solicitar login diretamente no dispositivo, o sistema gera um código que deve ser informado pelo usuário em um portal oficial da Microsoft.
O problema é que esse mecanismo pode ser explorado por criminosos.
Em vez de criar uma página falsa para capturar usuário e senha, o kit de phishing Kali365 induz a vítima a inserir um código legítimo em uma página verdadeira da Microsoft. Como toda a autenticação ocorre no domínio oficial da empresa, diversos mecanismos tradicionais de detecção acabam não identificando o ataque.
Após a autenticação bem-sucedida, o invasor recebe os tokens OAuth associados à sessão da vítima, permitindo acesso aos recursos autorizados daquela conta.
Esse modelo reduz significativamente a necessidade de contornar mecanismos como MFA (Autenticação Multifator), pois é o próprio usuário quem conclui o processo de autenticação.
Imagem: TheHackerNews
A isca visual (SharePoint, OneDrive e DocuSign)
O primeiro estágio do ataque utiliza técnicas clássicas de engenharia social.
A vítima recebe um e-mail informando que há um documento importante aguardando visualização ou assinatura. Normalmente, os criminosos utilizam marcas conhecidas, como:
- SharePoint
- OneDrive
- DocuSign
- Plataformas corporativas de colaboração
As páginas falsas reproduzem com alta fidelidade o visual desses serviços, aumentando a sensação de legitimidade.
Em vez de solicitar usuário e senha imediatamente, a página informa que é necessário validar um código para acessar o documento.
Essa pequena mudança reduz a desconfiança da vítima, já que o procedimento parece compatível com mecanismos modernos de autenticação.
A validação no portal oficial da Microsoft
É justamente neste momento que o ataque se diferencia das campanhas tradicionais.
O usuário é direcionado para o portal oficial da Microsoft, onde encontra uma página completamente legítima de autenticação.
Não existe clonagem do site.
Não existe certificado falso.
Não existe domínio malicioso durante essa etapa.
A vítima simplesmente informa o código fornecido anteriormente e realiza o login normalmente, inclusive utilizando MFA, biometria ou outros fatores adicionais de autenticação.
Como todo o processo ocorre dentro da infraestrutura oficial da Microsoft, muitos filtros de segurança baseados em reputação de domínio não encontram qualquer indicador suspeito.
Sob a perspectiva do sistema, trata-se apenas de uma autenticação válida realizada por um usuário autorizado.
Acesso contínuo via tokens OAuth
Após a autenticação, o Microsoft Entra ID emite os tradicionais tokens OAuth.
Entre eles estão:
- Access Token
- Refresh Token
Enquanto o primeiro concede acesso imediato aos recursos autorizados, o segundo permite renovar a sessão continuamente sem exigir novo login do usuário.
É justamente esse Refresh Token que torna o ataque extremamente perigoso.
Mesmo que a vítima altere sua senha posteriormente, dependendo das políticas de revogação adotadas pela organização, o invasor poderá continuar acessando:
- Outlook
- Exchange Online
- SharePoint
- OneDrive
- Teams
- Aplicações integradas ao Microsoft 365
Na prática, o criminoso passa a operar utilizando uma identidade considerada legítima pela plataforma.
Principais riscos corporativos trazidos pelo abuso do Kali365
O impacto do Kali365 vai muito além do comprometimento de uma única conta.
Quando um invasor obtém acesso persistente aos serviços do Microsoft 365, diversas fraudes podem ser realizadas sem levantar suspeitas imediatas.
Um dos cenários mais frequentes é o BEC (Business Email Compromise).
Nesse tipo de fraude, o atacante utiliza a própria caixa de e-mail corporativa da vítima para enviar mensagens legítimas a clientes, fornecedores ou parceiros comerciais.
Como os e-mails partem de uma conta real da organização, a probabilidade de sucesso aumenta significativamente.
Outro risco importante envolve a fraude em pagamentos.
Os criminosos monitoram conversas entre departamentos financeiros e fornecedores para alterar dados bancários em faturas ou boletos, desviando pagamentos para contas controladas pelo grupo criminoso.
A exfiltração de documentos confidenciais também representa um grande problema.
Projetos estratégicos, contratos, informações financeiras, propriedade intelectual e dados pessoais podem ser copiados silenciosamente durante semanas antes que qualquer atividade suspeita seja percebida.
Além das perdas financeiras diretas, organizações afetadas enfrentam elevados custos relacionados à resposta a incidentes, auditorias, investigação forense, comunicação a clientes, adequação regulatória e recuperação operacional.
Em ambientes altamente regulamentados, como instituições financeiras, empresas de saúde e órgãos governamentais, o impacto pode incluir multas e sanções decorrentes da exposição de informações sensíveis.
Como mitigar e identificar o sequestro de tokens nas organizações
Combater ataques baseados em tokens OAuth exige uma estratégia diferente daquela utilizada contra campanhas tradicionais de phishing.
O primeiro passo consiste em revisar as políticas do Microsoft Entra ID, avaliando a real necessidade de permitir o uso do Device Code Flow para todos os usuários.
Em muitas organizações, esse recurso pode ser restrito apenas a grupos específicos ou até mesmo desabilitado quando não há necessidade operacional.
Outra prática recomendada envolve o monitoramento contínuo de autenticações incomuns.
Equipes de SOC (Security Operations Center) devem acompanhar eventos como:
- autenticações via Device Code Flow;
- geração incomum de Refresh Tokens;
- acessos originados de novos dispositivos;
- mudanças repentinas de localização geográfica;
- uso simultâneo da mesma identidade em diferentes regiões.
Ferramentas de Threat Intelligence e indicadores de comprometimento (IOCs) ajudam a identificar campanhas conhecidas relacionadas ao Kali365, permitindo respostas mais rápidas.
Também é importante revisar periodicamente os aplicativos com permissões concedidas via OAuth, removendo autorizações desnecessárias ou desconhecidas.
Outra camada fundamental é a conscientização dos usuários.
Os treinamentos precisam explicar que páginas oficiais da Microsoft não significam, necessariamente, que a solicitação seja legítima.
Caso um usuário seja orientado por um e-mail a inserir um código de autenticação inesperado, a recomendação deve ser interromper imediatamente o processo e comunicar a equipe de segurança.
Por fim, organizações devem implementar processos eficientes para revogar rapidamente Refresh Tokens, invalidar sessões ativas e forçar nova autenticação sempre que houver suspeita de comprometimento.
O desafio de proteger a identidade na nuvem
O crescimento do Kali365 demonstra que os ataques modernos estão migrando do roubo de senhas para o abuso dos próprios mecanismos legítimos de autenticação. Em vez de tentar quebrar as barreiras de segurança da Microsoft, os criminosos convencem os usuários a utilizá-las em benefício da campanha maliciosa.
Esse cenário evidencia que filtros tradicionais de e-mail, bloqueios por domínio e verificações de URLs já não são suficientes para proteger ambientes corporativos. A defesa precisa evoluir para um modelo centrado na identidade digital, com monitoramento contínuo de autenticações, análise comportamental, gestão rigorosa de tokens OAuth e políticas de acesso adaptadas ao risco.
Para profissionais de TI, administradores de sistemas e analistas de segurança, compreender o funcionamento do Kali365 é essencial para antecipar ameaças e fortalecer a postura defensiva da organização. À medida que os ataques exploram recursos legítimos da nuvem, a visibilidade sobre eventos de autenticação passa a ser tão importante quanto a proteção tradicional contra malware.