Greatness Phishing Service tarnt sich als RingCentral, um Microsoft-365-Konten zu stehlen

Der Greatness-Phishing-Dienst gibt sich nun als RingCentral aus, um Microsoft-365-Konten durch Adversary-in-the-Middle- und Device-Code-Angriffe zu stehlen.

Greatness begann zunächst als traditioneller Phishing-Dienst zum Stehlen von Zugangsdaten. Inzwischen hat es sich zu einer breiteren Plattform entwickelt, die Authentifizierungs-Token erfassen und einige Formen der Multifaktor-Authentifizierung umgehen kann.

Die Kampagnen haben in erster Linie Nutzer in den USA, Kanada, dem Vereinigten Königreich, Australien und Südafrika ins Visier genommen. Die Plattform hat zudem Angriffe auf iCloud-, Yahoo- und Google-Workspace-Konten unterstützt.

Angreifer geben sich als RingCentral-Benachrichtigungen aus

ZeroBEC-Forscher beobachteten, wie Greatness-Betreiber den vertrauenswürdigen Status von RingCentral ausnutzten, um E-Mail-Sicherheitsmaßnahmen zu umgehen.

Die Angreifer fälschten die Adresse service@ringcentral[.]com und versendeten bösartige E-Mails an legitime RingCentral-Kunden. Die Nachrichten erschienen als Voicemail-Benachrichtigungen oder als Warnungen zu Mitarbeiter-Leistungsbeurteilungen.

Jede E-Mail enthielt einen erfundenen Hinweis, der behauptete, dass der Absender eine Genehmigung über die Liste sicherer Absender der Organisation erhalten habe. Diese Nachricht ließ die E-Mails vertrauenswürdiger erscheinen und ermutigte die Empfänger, auf eine eingebettete Schaltfläche zu klicken.

Laut ZeroBEC wies Microsoft Exchange den Nachrichten eine Spam Confidence Level von -1 zu. Diese Einstufung ermöglichte es den E-Mails, die normale Spam-Filterung zu umgehen.

Greatness stiehlt Microsoft-365-Authentifizierungs-Token

Das Klicken auf die bösartige Schaltfläche leitete die Opfer auf eine von den Greatness-Betreibern kontrollierte Infrastruktur um.

Einige Opfer gelangten auf eine Microsoft-Adversary-in-the-Middle-Phishing-Seite. Die Seite erfasste Authentifizierungs-Token, nachdem der Benutzer eine MFA-Anforderung abgeschlossen hatte.

Andere Opfer gerieten in einen Device-Code-Phishing-Prozess, der sie dazu verleitete, eine von Angreifern kontrollierte Sitzung über das legitime Authentifizierungssystem von Microsoft zu autorisieren.

Nachdem sie Zugang erlangt hatten, nutzten die Angreifer gestohlene Microsoft-365-Token über virtuelle private Server und kommerzielle VPN-Dienste wieder. Dies ermöglichte ihnen, auf kompromittierte Konten zuzugreifen, ohne eine weitere standardmäßige Anmeldung durchführen zu müssen.

Angreifer durchsuchen E-Mails, Teams-Chats und Cloud-Dateien

Die Angreifer durchsuchten Outlook-Postfächer und Microsoft-Teams-Unterhaltungen, nachdem sie ein Konto kompromittiert hatten.

Sie griffen auch auf SharePoint-Websites, OneDrive-Dateien, Kontakte, Kalender und registrierte Anwendungen zu. Ein Großteil der Informationen wurde über Microsoft Graph gesammelt.

In einigen Fällen blieb der unbefugte Zugriff länger als zwei Wochen aktiv, was den Angreifern Zeit gab, nach sensiblen Geschäftsinformationen zu suchen und weitere Ziele zu identifizieren.

Forscher untersuchen mögliche Verbindung zur RingCentral-Datenpanne

RingCentral hat kürzlich eine separate Datenschutzverletzung bestätigt, die von der Bedrohungsgruppe ShinyHunters beansprucht wurde. Das Unternehmen erklärte, dass der Vorfall Informationen einer begrenzten Anzahl von Kunden betraf und dass es diese direkt kontaktiere.

ZeroBEC geht davon aus, dass Greatness-Nutzer möglicherweise eine Liste gültiger RingCentral-Kunden aus dieser Datenschutzverletzung erlangt haben könnten. Die Forscher konnten jedoch keine direkte Verbindung zwischen den Vorfällen bestätigen.

Unternehmen sollten E-Mail-Allowlists überprüfen

Sicherheitsteams sollten Listen sicherer Absender und E-Mail-Allowlists auf übermäßig weit gefasste Ausnahmen überprüfen. Unternehmen sollten pauschale Domänenausschlüsse durch Regeln ersetzen, die auch eine gültige SPF-, DKIM- und DMARC-Authentifizierung erfordern.

Administratoren sollten auch ungewöhnliche, per MFA genehmigte Microsoft-365-Anmeldungen von Hosting-Anbietern, virtuellen privaten Servern oder kommerziellen VPN-Adressen untersuchen.

Wenn Administratoren eine Kompromittierung vermuten, sollten sie sofort den aktiven Zugriff widerrufen und Token aktualisieren. Sie sollten auch OAuth-Berechtigungen, Microsoft-Graph-Aktivitäten, registrierte Anwendungen und den Zugriff auf alle Microsoft-365-Dienste überprüfen.

In weiteren Sicherheitsnachrichten deckte Microsoft eine globale Hotel-Wi-Fi-Malware-Kampagne auf und begrenzte die Gültigkeitsdauer von NuGet-API-Schlüsseln auf 30 Tage.

Malware hat zudem neue Techniken entdeckt, die Google-Passkeys stehlen können, was zusätzliche Bedenken hinsichtlich der Sicherheit passwortloser Authentifizierungssysteme aufwirft.

Via BleepingComputer