Greatness Phishing Service tarnt sich als RingCentral, um Microsoft-365-Konten zu stehlen

Der Phishing-Dienst Greatness gibt sich nun als RingCentral aus, um Microsoft-365-Konten durch Adversary-in-the-Middle- und Device-Code-Angriffe zu stehlen.

Greatness startete ursprünglich als traditioneller Phishing-Dienst zum Stehlen von Anmeldeinformationen. Inzwischen hat es sich zu einer breiteren Plattform entwickelt, die Authentifizierungstoken abfangen und einige Formen der Multifaktor-Authentifizierung umgehen kann.

Die Kampagnen richteten sich vor allem gegen Nutzer in den USA, Kanada, dem Vereinigten Königreich, Australien und Südafrika. Die Plattform wurde zudem über Microsoft 365 hinaus erweitert und unterstützt nun Angriffe auf iCloud-, Yahoo- und Google-Workspace-Konten.

Angreifer geben sich als RingCentral-Benachrichtigungen aus

ZeroBEC-Forscher beobachteten, wie Greatness-Betreiber den vertrauenswürdigen Status von RingCentral ausnutzten, um E-Mail-Sicherheitsvorkehrungen zu umgehen.

Die Angreifer fälschten die Adresse service@ringcentral[.]com und verschickten bösartige E-Mails an legitime RingCentral-Kunden. Die Nachrichten erschienen als Voicemail-Benachrichtigungen oder als Warnungen zu Mitarbeiter-Leistungsbeurteilungen.

Jede E-Mail enthielt eine erfundene Mitteilung, wonach der Absender eine Genehmigung über die Safe-Sender-Liste der Organisation erhalten habe. Diese Nachricht ließ die E-Mails vertrauenswürdiger erscheinen und forderte die Empfänger auf, auf eine eingebettete Schaltfläche zu klicken.

Laut ZeroBEC stufte Microsoft Exchange die Nachrichten mit einem Spam Confidence Level von -1 ein. Diese Einstufung ermöglichte es den E-Mails, die normale Spam-Filterung zu umgehen.

Greatness stiehlt Microsoft-365-Authentifizierungstoken

Das Klicken auf die bösartige Schaltfläche leitete die Opfer auf eine von Greatness-Betreibern kontrollierte Infrastruktur weiter.

Einige Opfer gelangten auf eine Microsoft-Adversary-in-the-Middle-Phishing-Seite. Die Seite erfasste Authentifizierungstoken, nachdem der Benutzer eine MFA-Anforderung abgeschlossen hatte.

Andere Opfer gerieten in einen Device-Code-Phishing-Prozess, der sie dazu verleitete, eine vom Angreifer kontrollierte Sitzung über das legitime Authentifizierungssystem von Microsoft zu autorisieren.

Nachdem sie Zugriff erlangt hatten, verwendeten die Angreifer gestohlene Microsoft-365-Token über virtuelle private Server und kommerzielle VPN-Dienste weiter. Dadurch konnten sie auf kompromittierte Konten zugreifen, ohne eine weitere standardmäßige Anmeldung durchführen zu müssen.

Angreifer durchsuchen E-Mails, Teams-Chats und Cloud-Dateien

Die Angreifer durchsuchten Outlook-Postfächer und Microsoft-Teams-Unterhaltungen, nachdem sie ein Konto kompromittiert hatten.

Sie griffen zudem auf SharePoint-Websites, OneDrive-Dateien, Kontakte, Kalender und registrierte Anwendungen zu. Ein Großteil der Informationen wurde über Microsoft Graph gesammelt.

In einigen Fällen blieb der unbefugte Zugriff länger als zwei Wochen aktiv, sodass die Angreifer Zeit hatten, nach sensiblen Geschäftsinformationen zu suchen und weitere Ziele zu identifizieren.

Forscher untersuchen möglichen Zusammenhang mit RingCentral-Datenleck

RingCentral bestätigte kürzlich ein separates Datenleck, das von der Bedrohungsgruppe ShinyHunters beansprucht wurde. Das Unternehmen gab an, dass der Vorfall Informationen einer begrenzten Anzahl von Kunden betroffen habe und dass es diese direkt kontaktiere.

ZeroBEC geht davon aus, dass Greatness-Nutzer möglicherweise eine Liste gültiger RingCentral-Kunden aus diesem Datenleck erhalten haben. Die Forscher konnten jedoch keinen direkten Zusammenhang zwischen den Vorfällen bestätigen.

Unternehmen sollten E-Mail-Zulassungslisten überprüfen

Sicherheitsteams sollten Safe-Sender-Listen und E-Mail-Zulassungslisten auf zu weit gefasste Ausnahmen überprüfen. Unternehmen sollten pauschale Domain-Ausschlüsse durch Regeln ersetzen, die auch eine gültige SPF-, DKIM- und DMARC-Authentifizierung erfordern.

Administratoren sollten zudem ungewöhnliche, per MFA genehmigte Microsoft-365-Anmeldungen von Hosting-Anbietern, virtuellen privaten Servern oder kommerziellen VPN-Adressen untersuchen.

Wenn Administratoren eine Kompromittierung vermuten, sollten sie aktive Zugriffe sofort widerrufen und Token aktualisieren. Sie sollten zudem OAuth-Berechtigungen, Microsoft-Graph-Aktivitäten, registrierte Anwendungen und den Zugriff auf alle Microsoft-365-Dienste überprüfen.

In anderen Sicherheitsnachrichten deckte Microsoft eine globale Hotel-WLAN-Malware-Kampagne auf und verkürzte die Gültigkeitsdauer von NuGet-API-Schlüsseln auf 30 Tage.

Malware hat zudem neue Techniken entdeckt, mit denen sich Google-Passkeys stehlen lassen, was zusätzliche Bedenken hinsichtlich der Sicherheit passwortloser Authentifizierungssysteme aufwirft.

Über BleepingComputer