Crítico | Bypass de MFA por device-code phishing
Fluxo de autorização OAuth device-code permitiu obtenção de tokens válidos sem interação do segundo fator.
Simulação Adversarial em Fintech LATAM
CASE DEMONSTRATIVO — conteúdo preservado do portfólio original.
Serviços Financeiros | Fintech (nome sob NDA) | 2025-11-10
Exercício de Red Team full-scope de 6 semanas simulando um ator com motivação financeira, testando prevenção, detecção e resposta.
Escopo
- Perímetro externo (assets públicos e SaaS)
- Engenharia social (phishing direcionado)
- Movimentação lateral em ambiente híbrido Azure AD + on-prem
- Objetivo: acesso a console de pagamentos
Metodologia
- OSINT e mapeamento de superfície (assets, colaboradores, tecnologias)
- Phishing com página clonada de SSO + bypass de MFA por device-code
- Persistência via app OAuth malicioso no tenant
- Kerberoasting e abuso de ACLs para escalar até Tier-0
Achados no cenário demonstrativo
Alto | ACLs excessivas em contas de serviço
Contas de serviço legadas com GenericWrite sobre grupos privilegiados permitiram escalonamento silencioso.
Médio | Logs de auditoria com retenção insuficiente
Retenção de 7 dias impossibilitou reconstrução completa da timeline pelo blue team.
Resultado descrito
Playbooks de detecção reescritos para device-code, hardening de ACLs no AD e aumento de retenção para 90 dias. Segundo exercício, 3 meses depois, foi detectado em 42 minutos.
Stack: BloodHound · Havoc C2 · GoPhish · Evilginx · Azure AD
{ EOF — Built. Broken. Secured. }