Ameaça dos Infostealers: Como o Roubo de Cookies Burla o MFA e Como Mitigar

A autenticação de múltiplos fatores (MFA) é amplamente considerada a espinha dorsal da segurança de identidade digital. No entanto, grupos de cibercriminosos encontraram uma brecha cada vez mais explorada por malwares do tipo Infostealer: o sequestro de sessão através do roubo de cookies ativos (Cookie Hijacking). Em vez de roubar a senha do usuário, esses malwares extraem os tokens de sessão autenticados diretamente do banco de dados do navegador do cliente e os replicam em computadores de atacantes, ignorando completamente qualquer desafio de MFA ou senha.

Esse tipo de infecção se propaga principalmente via campanhas de phishing altamente direcionadas, softwares piratas, arquivos em PDF maliciosos ou extensões de navegador infectadas, representando a principal ameaça contra credenciais corporativas na nuvem nos dias de hoje.

⟩_ A Mecânica do Ataque de Session Hijacking

Quando um usuário clica no botão "Manter-me conectado" (Keep me signed in), o aplicativo gera um cookie de autenticação persistente. Esse cookie é armazenado em bancos de dados locais do navegador (geralmente SQLite). Os Infostealers modernos (como RedLine, Lumma, Vidar e Agent Tesla) vasculham essas pastas, descriptografam os registros locais usando chaves extraídas do gerenciador de credenciais do sistema operacional e exfiltram o banco de dados de cookies compactado para servidores de comando e controle (C2).

O atacante então importa esses cookies no seu próprio navegador e ganha acesso imediato ao painel administrativo da empresa na nuvem, pois o servidor Web assume que se trata de uma requisição legítima do usuário original cuja sessão já foi previamente autorizada e validada pelo MFA.

⟩_ Mitigação via Validação Rigorosa de Impressão Digital de Sessão

Uma mitigação robusta de back-end consiste em atrelar a sessão ativa a um hash dinâmico do endereço IP e User-Agent, invalidando o token instantaneamente se uma mudança drástica de fingerprint for detectada:

<?php
session_start();

function validateSessionFingerprint() {
    $ip = $_SERVER['REMOTE_ADDR'];
    $userAgent = $_SERVER['HTTP_USER_AGENT'];
    $fingerprint = hash('sha256', $ip . $userAgent);

    if (!isset($_SESSION['user_fingerprint'])) {
        // Primeira autenticação: registra a assinatura do cliente
        $_SESSION['user_fingerprint'] = $fingerprint;
        return true;
    }

    if ($_SESSION['user_fingerprint'] !== $fingerprint) {
        // Divergência de assinatura: possível roubo de cookie detectado!
        session_destroy();
        http_response_code(401);
        echo json_encode(["error" => "Possivel sequestro de sessao detectado."]);
        exit;
    }
    return true;
}

⟩_ Boas Práticas Operacionais contra Infostealers

Para mitigar esse risco de forma corporativa, reduza o tempo máximo de expiração das sessões ativas (principalmente em terminais compartilhados ou computadores pessoais), adote políticas estritas de acesso condicional baseadas em conformidade de dispositivos (MDM/Intune) e implemente o protocolo DPoP (Demonstrating Proof-of-Possession) nos fluxos de OAuth 2.0 e OpenID Connect, que amarra criptograficamente os tokens a uma chave privada gerada na própria máquina autorizada.