Os investigadores descobriram um complemento malicioso do Microsoft Outlook que conseguiu roubar 4.000 credenciais de contas da Microsoft, números de cartões de crédito e respostas de segurança bancária.
Como é possível que a Loja de Complementos do Microsoft Office tenha deixado de listar um complemento que carregava silenciosamente um kit de phishing na barra lateral do Outlook?
Um programador lançou um add-on chamado AgreeTo, uma ferramenta de agendamento de reuniões de código aberto com um Chrome extensão. Era uma ferramenta popular, mas a dada altura foi abandonada pelo programador, o seu URL de backend no Vercel expirou e um atacante reivindicou posteriormente esse mesmo URL.
Isso requer alguma explicação. Os suplementos do Office são essencialmente manifestos XML que instruem o Outlook a carregar uma URL específica num iframe. A Microsoft analisa e assina o manifesto uma vez, mas não monitoriza continuamente o que essa URL serve posteriormente.
Assim, quando o subdomínio outlook-one.vercel.app ficou disponível para reivindicação, um cibercriminoso aproveitou a oportunidade para obtê-lo e abusar das poderosas permissões ReadWriteItem solicitadas e aprovadas em 2022. Essas permissões significavam que o complemento poderia ler e modificar o e-mail de um utilizador quando carregado. As permissões eram adequadas para um agendador de reuniões, mas serviram a um propósito diferente para o criminoso.
Embora a Google tenha removido os mortos Chrome Apesar da extensão ter sido removida em fevereiro de 2025, o suplemento do Outlook permaneceu listado na Loja do Office da Microsoft, apontando ainda para um URL da Vercel que já não pertencia ao programador original.
Um invasor registou esse subdomínio Vercel e implementou um kit de phishing simples de quatro páginas que consistia num login falso da Microsoft, recolha de palavras-passe, exfiltração de dados baseada no Telegram e um redirecionamento para o login.microsoftonline.com real.
O que fez com que isso funcionasse foi simples e eficaz. Quando os utilizadores abriam o complemento, viam o que parecia ser um login normal da Microsoft dentro do Outlook. Eles inseriam as credenciais, que eram enviadas por meio de uma função JavaScript para o bot do Telegram do invasor, juntamente com os dados de IP, e depois eram redirecionados para o login real da Microsoft, de modo que nada parecia suspeito.
Os investigadores conseguiram aceder ao canal de exfiltração mal protegido do atacante, baseado no Telegram, e recuperaram mais de 4.000 conjuntos de credenciais de contas Microsoft roubadas, além de dados bancários e de pagamento, indicando que a campanha estava ativa e fazia parte de uma operação de phishing multimarcas mais ampla.
“O mesmo invasor opera pelo menos 12 kits de phishing distintos, cada um deles se passando por uma marca diferente – ISPs canadenses, bancos, provedores de webmail. Os dados roubados incluíam não apenas credenciais de e-mail, mas também números de cartão de crédito, CVVs, PINs e respostas de segurança bancária usadas para interceptar pagamentos Interac e-Transfer. Trata-se de uma operação profissional de phishing multimarcas. O complemento do Outlook era apenas um dos seus canais de distribuição.”
O que fazer
Se utiliza ou já utilizou o complemento AgreeTo após maio de 2023:
- Certifique-se de que foi removido. Caso contrário, desinstale o suplemento.
- Altere a palavra-passe da sua conta Microsoft.
- Se essa palavra-passe (ou variantes semelhantes) foi reutilizada em outros serviços (e-mail, banco, SaaS, redes sociais), altere-as também e torne cada uma delas única.
- Analise os acessos recentes e as atividades de segurança na sua conta Microsoft, procurando por acessos de locais ou dispositivos desconhecidos ou em horários incomuns.
- Revise outras informações confidenciais que possa ter partilhado por e-mail.
- Verifique a sua caixa de correio em busca de sinais de abuso: mensagens que não enviou, regras de reencaminhamento automático que não criou ou e-mails de redefinição de palavra-passe para outros serviços que não solicitou.
- Acompanhe atentamente os extratos de pagamento durante pelo menos os próximos meses, especialmente pequenas cobranças «teste» e transações inesperadas por transferência eletrónica ou cartão não presente, e conteste imediatamente qualquer coisa suspeita.
Sejamos sinceros, uma janela anónima tem as suas limitações.
Invasões de dados, comércio ilegal na dark web, fraudes com cartões de crédito. Malwarebytes Identity Theft Protection monitoriza tudo isto, alerta-o rapidamente e inclui seguro contra roubo de identidade.
