O que é o GhostCode

GhostCode é o nome dado a um kit de phishing identificado pela Threat Response Unit da eSentire em campanha observada no fim de agosto de 2026. Nada de página falsa pedindo usuário e senha na abertura: o ataque investe em conversas comerciais de aparência rotineira para conquistar confiança. O alvo final é fazer a vítima aprovar um login por código de dispositivo no Microsoft Entra, entregando ao invasor um acesso que ele controla.

O detalhe que muda o jogo é a durabilidade desse acesso. Quando o dispositivo é inscrito no diretório, revogar os tokens roubados pode não encerrar o incidente, porque o registro do dispositivo e a sessão associada continuam servindo de porta de entrada até serem removidos de forma explícita no Azure AD.

Como o golpe funciona

A campanha começou com mensagens em tom corporativo impecável. Os operadores se passaram por equipes de compras de empresas legítimas, incluindo referência à BJ's Wholesale Club, e enviaram perguntas simples por formulários de contato do Salesforce. Quando o time comercial respondia, os criminosos introduziam uma etapa de assinatura de NDA e mandavam, via WeTransfer, um arquivo HTML protegido por senha.

Esse anexo se apresentava como um portal de compartilhamento no estilo FlipBook. Para atrasar a análise, o arquivo era inflado com conteúdo inútil e comentários embutidos no HTML, liberando o endereço final só depois que a senha era digitada. O redirecionamento ainda atravessava filtros antibot, Cloudflare Turnstile, checagens de localização e análise do navegador usado pela vítima.

A infraestrutura mostra planejamento de médio prazo. O domínio bjssourcing[.]com apareceu ligado a mais de 30 domínios parecidos, todos registrados recentemente e habilitados para email, porém sem nenhum site ativo no ar.

Sinais de alerta

Alguns indícios aparecem antes de o contato virar incidente. Vale circular esta lista com quem atende cliente e fornecedor todos os dias:

• Pedido comercial inesperado que evolui rapidamente para assinatura de NDA.
• Arquivo HTML enviado por serviço externo, como WeTransfer, especialmente com senha.
• Domínio parecido com o de uma empresa real, mas sem site funcional.
• Solicitação para inserir código de dispositivo ou aprovar acesso no Microsoft Entra sem contexto claro.
• Portal de documento muito polido, mas hospedado em subdomínio estranho ou desconhecido.

Como se proteger

Login por código de dispositivo merece o mesmo rigor aplicado a senhas e aprovações de MFA. Diante de qualquer suspeita, revogar tokens é só o primeiro passo: é preciso conferir dispositivos registrados, sessões ativas e aplicativos autorizados no Microsoft Entra, além dos consentimentos concedidos a aplicações do Microsoft 365.

• Oriente times de vendas e compras a confirmar NDAs por canal independente.
• Bloqueie ou coloque em quarentena anexos HTML protegidos por senha quando possível.
• Revise cadastros de dispositivos após qualquer aprovação suspeita.
• Investigue domínios recém-criados que imitam fornecedores, distribuidores ou clientes.
• Registre e acompanhe tentativas de uso de código de dispositivo em contas corporativas.

Checklist prático

1. Mapeie contas que receberam anexos HTML com senha ou links de WeTransfer em negociações recentes.
2. Revise no Microsoft Entra dispositivos cadastrados, sessões e acessos concedidos após esses contatos.
3. Treine equipes para recusar aprovações de código de dispositivo quando o pedido vier de email, anexo ou portal desconhecido.

Perguntas frequentes

O GhostCode rouba apenas senha?

Não. O diferencial descrito é o abuso do fluxo de código de dispositivo do Microsoft Entra, capaz de transformar uma aprovação de MFA em acesso persistente para o atacante.

Revogar tokens resolve o problema?

Ajuda, mas raramente basta. Também é necessário revisar dispositivos inscritos, sessões e permissões ligadas à conta afetada no Azure AD.

Quem deve ficar mais atento?

Times de vendas, compras e atendimento comercial, já que a campanha nasce em contatos aparentemente legítimos por formulários e conversas de negócios.

Conheca: Cofre Corporativo de MFA, Gestao de Acesso, Autenticacao Forte. mfa2go.com

Fontes:
https://gbhackers.com/ghostcode-abuses-microsoft-entra/