Il servizio di phishing Greatness si spaccia per RingCentral per rubare account Microsoft 365

Il servizio di phishing Greatness ora impersona RingCentral per rubare account Microsoft 365 tramite attacchi adversary-in-the-middle e device-code.

Greatness operava inizialmente come un tradizionale servizio di phishing per il furto di credenziali. Da allora si è evoluto in una piattaforma più ampia in grado di catturare token di autenticazione e bypassare alcune forme di autenticazione a più fattori.

Le campagne hanno preso di mira principalmente utenti negli Stati Uniti, Canada, Regno Unito, Australia e Sudafrica. La piattaforma si è inoltre espansa oltre Microsoft 365 per supportare attacchi contro account iCloud, Yahoo e Google Workspace.

Gli attaccanti impersonano le notifiche di RingCentral

I ricercatori di ZeroBEC hanno osservato gli operatori di Greatness sfruttare lo status di fiducia di RingCentral per eludere le protezioni della posta elettronica.

Gli attaccanti hanno falsificato l’indirizzo service@ringcentral[.]com e inviato email dannose a clienti legittimi di RingCentral. I messaggi apparivano come notifiche di messaggi in segreteria o avvisi di valutazione delle prestazioni dei dipendenti.

Ogni email includeva un avviso fittizio in cui si affermava che il mittente aveva ricevuto l’approvazione tramite l’elenco mittenti attendibili dell’organizzazione. Questo messaggio faceva apparire le email più affidabili e incoraggiava i destinatari a fare clic su un pulsante incorporato.

Secondo ZeroBEC, Microsoft Exchange ha assegnato ai messaggi un Spam Confidence Level di -1. Tale classificazione ha permesso alle email di evitare il normale filtro antispam.

Greatness ruba i token di autenticazione di Microsoft 365

Facendo clic sul pulsante dannoso, le vittime venivano reindirizzate all’infrastruttura controllata dagli operatori di Greatness.

Alcune vittime raggiungevano una pagina di phishing adversary-in-the-middle di Microsoft. La pagina catturava i token di autenticazione dopo che l’utente aveva completato una richiesta MFA.

Altre vittime entravano in un processo di phishing device-code, che le convinceva ad autorizzare una sessione controllata dall’attaccante tramite il sistema di autenticazione legittimo di Microsoft.

Dopo aver ottenuto l’accesso, gli attaccanti riutilizzavano i token Microsoft 365 rubati tramite server privati virtuali e servizi VPN commerciali. Ciò consentiva loro di accedere agli account compromessi senza completare un altro accesso standard.

Gli attaccanti cercano tra email, chat di Teams e file cloud

Gli attaccanti cercavano nelle cassette postali di Outlook e nelle conversazioni di Microsoft Teams dopo aver compromesso un account.

Accedevano inoltre a siti SharePoint, file OneDrive, contatti, calendari e applicazioni registrate. Gran parte delle informazioni veniva raccolta tramite Microsoft Graph.

In alcuni casi, l’accesso non autorizzato rimaneva attivo per più di due settimane, dando agli attaccanti il tempo di cercare informazioni aziendali sensibili e identificare ulteriori obiettivi.

I ricercatori esaminano una possibile connessione con la violazione di RingCentral

RingCentral ha recentemente confermato una violazione di dati separata rivendicata dal gruppo di minaccia ShinyHunters. L’azienda ha dichiarato che l’incidente ha interessato informazioni appartenenti a un numero limitato di clienti e che li stava contattando direttamente.

ZeroBEC ritiene che gli utenti di Greatness possano aver ottenuto un elenco di clienti RingCentral validi da quella violazione. Tuttavia, i ricercatori non hanno potuto confermare una connessione diretta tra gli incidenti.

Le organizzazioni dovrebbero rivedere gli elenchi consentiti delle email

I team di sicurezza dovrebbero rivedere gli elenchi di mittenti attendibili e gli elenchi consentiti delle email per eccezioni eccessivamente ampie. Le organizzazioni dovrebbero sostituire le esclusioni generiche di dominio con regole che richiedano anche un’autenticazione SPF, DKIM e DMARC valida.

Gli amministratori dovrebbero inoltre indagare su accessi a Microsoft 365 approvati tramite MFA insoliti provenienti da provider di hosting, server privati virtuali o indirizzi VPN commerciali.

Quando gli amministratori sospettano una compromissione, dovrebbero revocare immediatamente l’accesso attivo e aggiornare i token. Dovrebbero inoltre rivedere le autorizzazioni OAuth, l’attività di Microsoft Graph, le applicazioni registrate e l’accesso ai servizi Microsoft 365.

In altre notizie sulla sicurezza, Microsoft ha scoperto una campagna malware globale sul Wi-Fi degli hotel e ha limitato la durata delle chiavi API NuGet a 30 giorni.

È stato inoltre scoperto un malware con nuove tecniche in grado di rubare le passkey di Google, sollevando ulteriori preoccupazioni sulla sicurezza dei sistemi di autenticazione senza password.

Via BleepingComputer