Ataques de Spoofing de ID OAuth Permitem Teste Furtivo de Credenciais Microsoft Entra

O UNK_pyreq2323 não é uma ferramenta pública nem um projeto de código aberto, é uma campanha operacional ativa, documentada pela Proofpoint entre janeiro e março de 2026, que explora uma falha de design no Microsoft Entra ID: o tratamento diferenciado de erros AADSTS quando um client_id OAuth sintaticamente válido (mas não registrado) é usado no fluxo ROPC. Esse fluxo, já desaconselhado pela Microsoft por ser incompatível com MFA e expor credenciais em texto claro, vira alvo perfeito. O UNK_pyreq2323 reutiliza IDs de aplicativos conhecidos, alterando só os dígitos finais, e aplica cada spoofed ID em até 12 usuários, o que reduz a entropia do tráfego e aumenta a eficiência da enumeração sem acionar limites por aplicativo.

Isso não é simples 'força bruta': é engenharia de erro. Cada resposta AADSTS (como o código 700016) revela, silenciosamente, se o usuário existe e se a senha está correta, tudo sem gerar um evento de login bem-sucedido nos logs do Entra ID. E pior: o campo 'application name' fica vazio no log, tornando invisíveis tanto detecções baseadas em nome de app quanto políticas de Acesso Condicional vinculadas a aplicações específicas. A infraestrutura usada, AWS com mais de 700 mil IDs falsos, mostra escala industrial, não teste acadêmico.

A cobertura CEVIU de 3 de julho de 2026 já havia alertado sobre um ataque massivo de password spray ao Azure CLI, com 81 milhões de tentativas em duas semanas, mas lá o vetor era direto, ruidoso e dependia de credenciais válidas em ambientes com MFA fraco. O UNK_pyreq2323 representa uma mudança tática profunda: troca volume por furtividade. Em vez de bater repetidamente no mesmo endpoint com senhas aleatórias, ele manipula o próprio protocolo OAuth para extrair validação de credenciais via análise de erros. É a primeira vez que a CEVIU registra uma campanha usando spoofing de client_id como mecanismo principal de validação, e não como complemento de phishing ou device code, como nas matérias de 12 de março e 4 de junho de 2026.

Empresas que confiam em logs de sign-in do Entra ID como fonte primária de detecção de credential stuffing ou password spraying estão cegas a esse tipo de ataque. Não há lockout sistemático (só 28% dos alvos foram bloqueados), não há MFA bypass óbvio, e não há aplicativo suspeito listado nos relatórios. O risco real está na cadeia de consequências: contas validadas pelo UNK_pyreq2323 viram porta de entrada para ataques de BEC, exfiltração via SharePoint ou comprometimento de pipelines CI/CD, justamente os cenários descritos nas análises anteriores da CEVIU sobre living off the cloud e ataques ao Salesforce. Isso não é teoria: já afetou milhares de clientes e milhões de usuários.