Greatness Phishing Service si spaccia per RingCentral per rubare account Microsoft 365

Il servizio di phishing Greatness ora impersona RingCentral per rubare account Microsoft 365 attraverso attacchi adversary-in-the-middle e di tipo device-code.

Inizialmente Greatness operava come un tradizionale servizio di phishing per il furto di credenziali. Da allora si è evoluto in una piattaforma più ampia in grado di catturare token di autenticazione e aggirare alcune forme di autenticazione a più fattori.

Le campagne hanno preso di mira principalmente utenti negli Stati Uniti, Canada, Regno Unito, Australia e Sudafrica. La piattaforma si è anche espansa oltre Microsoft 365 per supportare attacchi contro account iCloud, Yahoo e Google Workspace.

Gli aggressori impersonano le notifiche di RingCentral

I ricercatori di ZeroBEC hanno osservato gli operatori di Greatness sfruttare lo stato di trust di RingCentral per aggirare le protezioni di sicurezza delle email.

Gli aggressori hanno falsificato l’indirizzo service@ringcentral[.]com e inviato email dannose a legittimi clienti RingCentral. I messaggi apparivano come notifiche di posta vocale o avvisi di valutazione delle prestazioni dei dipendenti.

Ogni email includeva un falso avviso che affermava che il mittente aveva ricevuto l’approvazione tramite l’elenco dei mittenti attendibili dell’organizzazione. Questo messaggio faceva sembrare le email più affidabili e incoraggiava i destinatari a cliccare un pulsante incorporato.

Secondo ZeroBEC, Microsoft Exchange ha assegnato ai messaggi un Livello di attendibilità spam pari a -1. Tale classificazione ha permesso alle email di evitare il normale filtraggio antispam.

Greatness ruba i token di autenticazione di Microsoft 365

Cliccando il pulsante dannoso, le vittime venivano reindirizzate a un’infrastruttura controllata dagli operatori di Greatness.

Alcune vittime raggiungevano una pagina di phishing adversary-in-the-middle di Microsoft. La pagina catturava i token di autenticazione dopo che l’utente completava una richiesta MFA.

Altre vittime venivano indirizzate a un processo di phishing basato su codice dispositivo, che le persuadeva ad autorizzare una sessione controllata dall’aggressore attraverso il legittimo sistema di autenticazione di Microsoft.

Dopo aver ottenuto l’accesso, gli aggressori riutilizzavano i token Microsoft 365 rubati tramite server privati virtuali e servizi VPN commerciali. Ciò permetteva loro di accedere agli account compromessi senza completare un altro accesso standard.

Gli aggressori cercano email, chat di Teams e file cloud

Dopo aver compromesso un account, gli aggressori cercavano nelle cassette postali di Outlook e nelle conversazioni di Microsoft Teams.

Accedevano anche a siti SharePoint, file OneDrive, contatti, calendari e applicazioni registrate. Gran parte delle informazioni veniva raccolta tramite Microsoft Graph.

In alcuni casi, l’accesso non autorizzato rimaneva attivo per più di due settimane, dando agli aggressori il tempo di cercare informazioni aziendali sensibili e identificare ulteriori obiettivi.

I ricercatori esaminano una possibile connessione con la violazione di RingCentral

RingCentral ha recentemente confermato una violazione di dati separata rivendicata dal gruppo di minaccia ShinyHunters. L’azienda ha dichiarato che l’incidente ha coinvolto informazioni appartenenti a un numero limitato di clienti e che li stava contattando direttamente.

ZeroBEC ritiene che gli utenti di Greatness possano aver ottenuto un elenco di clienti RingCentral validi da quella violazione. Tuttavia, i ricercatori non hanno potuto confermare una connessione diretta tra gli incidenti.

Le organizzazioni dovrebbero rivedere le liste di mittenti consentiti delle email

I team di sicurezza dovrebbero rivedere gli elenchi di mittenti attendibili e le liste di mittenti consentiti delle email per eccezioni eccessivamente ampie. Le organizzazioni dovrebbero sostituire le esclusioni generiche di dominio con regole che richiedano anche una valida autenticazione SPF, DKIM e DMARC.

Gli amministratori dovrebbero anche indagare su accessi a Microsoft 365 approvati da MFA insoliti provenienti da provider di hosting, server privati virtuali o indirizzi VPN commerciali.

Quando gli amministratori sospettano una compromissione, dovrebbero revocare immediatamente l’accesso attivo e i token di aggiornamento. Dovrebbero anche rivedere i permessi OAuth, le attività di Microsoft Graph, le applicazioni registrate e l’accesso ai servizi Microsoft 365.

In altre notizie di sicurezza, Microsoft ha scoperto una campagna malware globale su Wi-Fi degli hotel e ha limitato la durata delle chiavi API di NuGet a 30 giorni.

Il malware ha anche scoperto nuove tecniche in grado di rubare le passkey di Google, aumentando le preoccupazioni sulla sicurezza dei sistemi di autenticazione senza password.

Via BleepingComputer