# OwaAuth > Tipo: **malware** · S0072 · [MITRE ATT&CK](https://attack.mitre.org/software/S0072) ## Descrição [[s0072-owaauth|OwaAuth]] é um web shell e ladrão de credenciais implantado em servidores Microsoft Exchange, aparentemente utilizado de forma exclusiva pelo [[g0027-threat-group-3390|Threat Group-3390]] (APT27/Emissary Panda), grupo de espionagem chinês. O OwaAuth se disfarça como um componente legítimo do Outlook Web Access (OWA), mascarando-se na estrutura de diretórios do IIS para parecer um módulo nativo do Exchange. Uma vez implantado, o OwaAuth funciona como um keylogger persistente da página de login do OWA, capturando credenciais de todos os usuários que autenticam no servidor de e-mail corporativo. Esta abordagem é extremamente eficaz pois fornece ao atacante credenciais de toda a organização sem necessidade de comprometer cada máquina individualmente. O malware também implementa timestomping para ocultar sua data de instalação. A exclusividade de uso pelo [[g0027-threat-group-3390|Threat Group-3390]] e sua implantação em servidores Exchange altamente privilegiados demonstram o nível de acesso e sofisticação operacional do grupo, focado em espionagem de longo prazo em alvos governamentais, de defesa e energia. **Plataformas:** Windows ## Técnicas Utilizadas - [[t1505-003-web-shell|T1505.003 - Web Shell]] - [[t1036-005-match-legitimate-resource-name-or-location|T1036.005 - Match Legitimaté Resource Name or Location]] - [[t1056-001-keylogging|T1056.001 - Keylogging]] - [[t1083-file-and-directory-discovery|T1083 - File and Directory Discovery]] - [[t1070-006-timestomp|T1070.006 - Timestomp]] - [[t1560-003-archive-via-custom-method|T1560.003 - Archive via Custom Method]] - [[t1505-004-iis-components|T1505.004 - IIS Components]] - [[t1071-001-web-protocols|T1071.001 - Web Protocols]] ## Detecção - Auditar regularmente componentes IIS instalados e módulos não-padrão no Exchange ([[t1505-004-iis-components|T1505.004]]) - Monitorar modificação de arquivos nos diretórios do OWA por processos não-relacionados ao Exchange ([[t1505-003-web-shell|T1505.003]]) - Detectar timestomping de arquivos em diretórios de aplicação web ([[t1070-006-timestomp|T1070.006]]) - Implementar monitoramento de integridade de arquivos (FIM) nos diretórios do Exchange ## Relevância LATAM/Brasil Servidores Microsoft Exchange on-premises ainda são amplamente utilizados em organizações brasileiras dos setores governo, jurídico e financeiro. A implantação de web shells como o OwaAuth em servidores Exchange é uma técnica documentada em múltiplas campanhas contra organizações brasileiras. As vulnerabilidades ProxyLogon e ProxyShell de 2021 foram amplamente exploradas para implantar web shells em servidores Exchange no Brasil, tornando esta categoria de ameaça de alta relevância operacional. ## Referências - [MITRE ATT&CK - S0072](https://attack.mitre.org/software/S0072)