Servizio di phishing Greatness si spaccia per RingCentral per rubare account Microsoft 365

Il servizio di phishing Greatness ora impersona RingCentral per rubare account Microsoft 365 attraverso attacchi adversary-in-the-middle e device-code.

Greatness inizialmente operava come un tradizionale servizio di phishing per il furto di credenziali. Da allora si è evoluto in una piattaforma più ampia in grado di catturare token di autenticazione e bypassare alcune forme di autenticazione a più fattori.

Le campagne hanno preso di mira principalmente utenti negli Stati Uniti, Canada, Regno Unito, Australia e Sudafrica. La piattaforma si è anche espansa oltre Microsoft 365 per supportare attacchi contro account iCloud, Yahoo e Google Workspace.

Gli aggressori impersonano le notifiche di RingCentral

I ricercatori di ZeroBEC hanno osservato gli operatori di Greatness sfruttare lo stato di attendibilità di RingCentral per eludere le protezioni della posta elettronica.

Gli aggressori hanno falsificato l’indirizzo service@ringcentral[.]com e inviato email dannose a clienti legittimi di RingCentral. I messaggi apparivano come notifiche di messaggi in segreteria o avvisi di valutazione delle prestazioni dei dipendenti.

Ogni email includeva un avviso fittizio in cui si affermava che il mittente aveva ricevuto l’approvazione attraverso l’elenco dei mittenti attendibili dell’organizzazione. Questo messaggio faceva sembrare le email più affidabili e incoraggiava i destinatari a fare clic su un pulsante incorporato.

Secondo ZeroBEC, Microsoft Exchange assegnava ai messaggi un Spam Confidence Level pari a -1. Tale classificazione consentiva alle email di eludere i normali filtri antispam.

Greatness ruba i token di autenticazione di Microsoft 365

Facendo clic sul pulsante malevolo, le vittime venivano reindirizzate a un’infrastruttura controllata dagli operatori di Greatness.

Alcune vittime raggiungevano una pagina di phishing adversary-in-the-middle di Microsoft. La pagina catturava i token di autenticazione dopo che l’utente aveva completato una richiesta di autenticazione a più fattori.

Altre vittime entravano in un processo di phishing device-code, che le persuadeva ad autorizzare una sessione controllata dall’aggressore attraverso il sistema di autenticazione legittimo di Microsoft.

Dopo aver ottenuto l’accesso, gli aggressori riutilizzavano i token Microsoft 365 rubati tramite server privati virtuali e servizi VPN commerciali. Ciò consentiva loro di accedere agli account compromessi senza completare un altro accesso standard.

Gli aggressori cercano email, chat di Teams e file cloud

Dopo aver compromesso un account, gli aggressori cercavano nelle cassette postali di Outlook e nelle conversazioni di Microsoft Teams.

Accedevano inoltre a siti SharePoint, file OneDrive, contatti, calendari e applicazioni registrate. Gran parte delle informazioni veniva raccolta tramite Microsoft Graph.

In alcuni casi, l’accesso non autorizzato rimaneva attivo per più di due settimane, dando agli aggressori il tempo di cercare informazioni aziendali sensibili e identificare ulteriori obiettivi.

I ricercatori esaminano un possibile collegamento con la violazione di RingCentral

RingCentral ha recentemente confermato una violazione dei dati separata, rivendicata dal gruppo di minacce ShinyHunters. L’azienda ha dichiarato che l’incidente ha interessato informazioni appartenenti a un numero limitato di clienti e che li stava contattando direttamente.

ZeroBEC ritiene che gli utenti di Greatness possano aver ottenuto un elenco di clienti RingCentral validi da tale violazione. Tuttavia, i ricercatori non hanno potuto confermare un collegamento diretto tra gli incidenti.

Le organizzazioni dovrebbero rivedere gli elenchi di mittenti attendibili

I team di sicurezza dovrebbero rivedere gli elenchi di mittenti attendibili e le liste di esclusione delle email per eccezioni eccessivamente ampie. Le organizzazioni dovrebbero sostituire le esclusioni generiche di dominio con regole che richiedano anche un’autenticazione SPF, DKIM e DMARC valida.

Gli amministratori dovrebbero inoltre indagare sugli accessi a Microsoft 365 insoliti, approvati tramite autenticazione a più fattori, provenienti da provider di hosting, server privati virtuali o indirizzi VPN commerciali.

Quando gli amministratori sospettano una compromissione, dovrebbero revocare immediatamente l’accesso attivo e aggiornare i token. Dovrebbero anche rivedere le autorizzazioni OAuth, l’attività di Microsoft Graph, le applicazioni registrate e l’accesso a tutti i servizi Microsoft 365.

In altre notizie sulla sicurezza, Microsoft ha scoperto una campagna malware globale su Wi-Fi di hotel e ha limitato la durata delle chiavi API NuGet a 30 giorni.

È stato inoltre scoperto un malware con nuove tecniche in grado di rubare le passkey di Google, sollevando ulteriori preoccupazioni sulla sicurezza dei sistemi di autenticazione senza password.

Via BleepingComputer