Greatness Phishing Service si spaccia per RingCentral per rubare account Microsoft 365

Il servizio di phishing Greatness ora impersona RingCentral per rubare account Microsoft 365 attraverso attacchi adversary-in-the-middle e di device-code.

Inizialmente Greatness operava come un tradizionale servizio di phishing per il furto di credenziali. Da allora si è evoluto in una piattaforma più ampia in grado di catturare token di autenticazione e bypassare alcune forme di autenticazione a più fattori.

Le campagne hanno preso di mira principalmente utenti negli Stati Uniti, in Canada, nel Regno Unito, in Australia e in Sudafrica. La piattaforma si è anche estesa oltre Microsoft 365 per supportare attacchi contro account iCloud, Yahoo e Google Workspace.

Gli aggressori impersonano le notifiche di RingCentral

I ricercatori di ZeroBEC hanno osservato gli operatori di Greatness sfruttare lo stato di attendibilità di RingCentral per eludere le protezioni della sicurezza email.

Gli aggressori hanno falsificato l’indirizzo service@ringcentral[.]com e inviato email dannose a clienti legittimi di RingCentral. I messaggi apparivano come notifiche di segreteria telefonica o avvisi di valutazione delle prestazioni dei dipendenti.

Ogni email includeva un avviso fittizio che dichiarava come il mittente avesse ricevuto l’approvazione tramite l’elenco mittenti attendibili dell’organizzazione. Questo messaggio faceva apparire le email più affidabili e incoraggiava i destinatari a cliccare un pulsante incorporato.

Secondo ZeroBEC, Microsoft Exchange ha assegnato ai messaggi un Spam Confidence Level di -1. Tale classificazione ha permesso alle email di evitare il normale filtraggio antispam.

Greatness ruba i token di autenticazione di Microsoft 365

Cliccando il pulsante dannoso, le vittime venivano reindirizzate a un’infrastruttura controllata dagli operatori di Greatness.

Alcune vittime raggiungevano una pagina di phishing adversary-in-the-middle di Microsoft. La pagina catturava i token di autenticazione dopo che l’utente completava una richiesta MFA.

Altre vittime venivano coinvolte in un processo di device-code phishing, che le persuadeva ad autorizzare una sessione controllata dall’aggressore attraverso il sistema di autenticazione legittimo di Microsoft.

Dopo aver ottenuto l’accesso, gli aggressori riutilizzavano i token Microsoft 365 rubati tramite server privati virtuali e servizi VPN commerciali. Ciò permetteva loro di accedere agli account compromessi senza dover completare un altro accesso standard.

Gli aggressori cercano nelle email, nelle chat di Teams e nei file cloud

Dopo aver compromesso un account, gli aggressori cercavano nelle caselle di posta di Outlook e nelle conversazioni di Microsoft Teams.

Accedevano anche a siti di SharePoint, file di OneDrive, contatti, calendari e applicazioni registrate. Gran parte delle informazioni veniva raccolta tramite Microsoft Graph.

In alcuni casi, l’accesso non autorizzato è rimasto attivo per più di due settimane, dando agli aggressori il tempo di cercare informazioni aziendali sensibili e identificare ulteriori bersagli.

I ricercatori esaminano il possibile collegamento con la violazione di RingCentral

RingCentral ha recentemente confermato una violazione di dati separata, rivendicata dal gruppo di minacce ShinyHunters. L’azienda ha dichiarato che l’incidente ha riguardato informazioni appartenenti a un numero limitato di clienti e che li sta contattando direttamente.

ZeroBEC ritiene che gli utenti di Greatness possano aver ottenuto un elenco di clienti RingCentral validi da quella violazione. Tuttavia, i ricercatori non hanno potuto confermare un collegamento diretto tra gli incidenti.

Le organizzazioni dovrebbero rivedere gli elenchi consentiti di posta elettronica

I team di sicurezza dovrebbero rivedere gli elenchi mittenti attendibili e gli elenchi consentiti di posta elettronica per individuare eccezioni troppo ampie. Le organizzazioni dovrebbero sostituire le esclusioni di dominio generiche con regole che richiedano anche un’autenticazione SPF, DKIM e DMARC valida.

Gli amministratori dovrebbero anche analizzare gli accessi Microsoft 365 insoliti approvati con MFA provenienti da provider di hosting, server privati virtuali o indirizzi VPN commerciali.

Quando gli amministratori sospettano una compromissione, dovrebbero revocare immediatamente l’accesso attivo e i token di aggiornamento. Dovrebbero anche esaminare le autorizzazioni OAuth, l’attività di Microsoft Graph, le applicazioni registrate e l’accesso a tutti i servizi Microsoft 365.

In altre notizie sulla sicurezza, Microsoft ha scoperto una campagna malware globale su Wi-Fi degli hotel e ha limitato la durata delle chiavi API NuGet a 30 giorni.

Il malware ha anche scoperto nuove tecniche che possono rubare le passkey di Google, sollevando ulteriori preoccupazioni sulla sicurezza dei sistemi di autenticazione senza password.

Via BleepingComputer