alteredsecurity/365-stealerAutomatiza ataques de Concessão de Consentimento Ilícito contra locatários Azure/O365 para roubar tokens de atualização, exfiltrar e-mails/dados do OneDrive e criar regras maliciosas do Outlook por meio de uma CLI e portal de gerenciamento web.
365-Stealer é uma ferramenta baseada em Python3 projetada para automatizar ataques de concessão de consentimento ilícito. Quando um usuário alvo concede permissão involuntariamente a um aplicativo do atacante, o atacante obtém acesso ao token de atualização (refresh token) da vítima. Esse token de atualização pode então ser usado para gerar outros tokens, permitindo que o atacante acesse dados sensíveis como e-mails, arquivos no OneDrive e anotações—sem precisar de mais interação da vítima. Explorar isso manualmente pode ser demorado, mas o 365-Stealer simplifica e automatiza o processo.
Um ataque de concessão de consentimento ilícito ocorre quando um atacante registra um aplicativo malicioso no Azure, solicitando acesso a dados sensíveis como contatos, e-mails ou documentos. O atacante engana um usuário para que consinta com o aplicativo, geralmente apresentando-o como legítimo. Assim que a vítima clica em "Aceitar", ela concede acesso ao atacante sem saber, permitindo que ele aja em nome da vítima sem precisar das credenciais organizacionais dela.
Para explicar de forma mais clara, quando o usuário concede permissão, o Entra ID envia um token para o servidor do atacante. Esse token dá ao atacante a capacidade de ler e enviar e-mails, acessar arquivos no OneDrive e realizar outras atividades maliciosas usando as credenciais da vítima. Diferente de ataques de phishing que dependem do roubo de senhas, os ataques de concessão de consentimento ilícito contornam completamente a autenticação, abusando do sistema de permissões de aplicativos em nuvem.
--run-app no terminal ou através do portal de gerenciamento do 365-Stealer.--no-stealing, a ferramenta pode roubar apenas os tokens sem ações adicionais, permitindo que atacantes os explorem posteriormente.--refresh-token, --client-id e --client-secret, os atacantes podem obter facilmente novos tokens de acesso.--app-registration automatiza o processo de registro de aplicativo no Azure, facilitando a configuração da infraestrutura de ataque sem intervenção manual.--custom-steal, os atacantes podem roubar dados seletivamente de fontes específicas como OneDrive, Outlook, etc.database.db, que pode ser compartilhado com a equipe para aproveitar os tokens e dados roubados existentes.Para registrar automaticamente um aplicativo no Azure usando o script Python fornecido, siga estes passos:
Certifique-se de ter o Python3 instalado em sua máquina.
Clone o repositório do 365-Stealer:
git clone https://github.com/AlteredSecurity/365-Stealer.git
cd 365-Stealer
Instale os módulos Python necessários:
pip install -r requirements.txt
Execute o script automatizado de registro de aplicativo no Azure:
python 365-Stealer.py --app-registration