Greatness Phishing ServiceがRingCentralになりすまし、Microsoft 365アカウントを盗む

フィッシングサービス「Greatness」が現在RingCentralを装い、adversary-in-the-middle攻撃やデバイスコード攻撃を通じてMicrosoft 365アカウントを窃取しています。

Greatnessは当初、従来型の認証情報窃取型フィッシングサービスとして運用されていましたが、その後、認証トークンを取得し、一部の多要素認証をバイパスできる、より広範なプラットフォームへと進化しました。

これらのキャンペーンは、主に米国、カナダ、英国、オーストラリア、南アフリカのユーザーを標的にしています。また、このプラットフォームはMicrosoft 365を超えて拡大し、iCloud、Yahoo、Google Workspaceのアカウントに対する攻撃もサポートするようになりました。

攻撃者がRingCentralの通知を装う

ZeroBECの研究者は、Greatnessの運営者が、メールセキュリティ保護を回避するためにRingCentralの信頼された地位を悪用しているのを観測しました。

攻撃者はservice@ringcentral[.]comのアドレスを詐称し、正規のRingCentral顧客に悪意のあるメールを送信しました。メッセージは、ボイスメール通知や従業員の業績評価アラートとして表示されました。

各メールには、送信者が組織の差出人セーフ リストを通じて承認を受けたと主張する偽の通知が含まれていました。このメッセージにより、メールはより信頼できるように見え、受信者は埋め込まれたボタンをクリックするよう促されました。

ZeroBECによると、Microsoft ExchangeはこれらのメッセージにSpam Confidence Level -1を割り当てました。この分類により、メールは通常のスパムフィルタリングを回避できました。

GreatnessがMicrosoft 365の認証トークンを窃取

悪意のあるボタンをクリックすると、被害者はGreatnessの運営者が管理するインフラストラクチャにリダイレクトされました。

一部の被害者は、Microsoftのadversary-in-the-middleフィッシングページに誘導されました。このページは、ユーザーがMFA要求を完了した後に認証トークンを取得しました。

他の被害者は、デバイスコードフィッシングのプロセスに誘導され、攻撃者が制御するセッションをMicrosoftの正規の認証システムを通じて承認するよう説得されました。

アクセスを取得した後、攻撃者は盗んだMicrosoft 365トークンを、仮想プライベートサーバーや商用VPNサービスを通じて再利用しました。これにより、別途標準的なサインインを完了することなく、侵害したアカウントに侵入することができました。

攻撃者がメール、Teamsチャット、クラウドファイルを検索

攻撃者は、アカウントを侵害した後、OutlookのメールボックスやMicrosoft Teamsの会話を検索しました。

また、SharePointサイト、OneDriveファイル、連絡先、予定表、登録済みアプリケーションにもアクセスしました。情報の多くはMicrosoft Graphを通じて収集されました。

一部のケースでは、不正アクセスが2週間以上もアクティブな状態が続き、攻撃者に機密性の高いビジネス情報を検索し、新たな標的を特定する時間を与えていました。

研究者らがRingCentral侵害との関連の可能性を調査

RingCentralは最近、ShinyHunters脅威グループが主張する別のデータ侵害を確認しました。同社は、このインシデントが限られた数の顧客の情報に影響を与えたとし、影響を受けた顧客に直接連絡を取っていると述べました。

ZeroBECは、Greatnessのユーザーがこの侵害から有効なRingCentral顧客のリストを入手した可能性があると考えています。しかし、研究者らはこれらのインシデント間の直接的な関連性を確認できませんでした。

組織はメール許可リストを見直すべき

セキュリティチームは、過度に広範な例外が設定されていないか、差出人セーフ リストとメール許可リストを見直す必要があります。組織は、包括的なドメイン除外を、有効なSPF、DKIM、DMARC認証も要求するルールに置き換えるべきです。

管理者はまた、ホスティングプロバイダー、仮想プライベートサーバー、または商用VPNのアドレスから、MFAが承認された異常なMicrosoft 365サインインがないか調査する必要があります。

管理者が侵害を疑う場合は、アクティブなアクセストークンと更新トークンを直ちに失効させるべきです。また、OAuthアクセス許可、Microsoft Graphのアクティビティ、登録済みアプリケーション、Microsoft 365サービス全体にわたるアクセスを確認する必要があります。

他のセキュリティニュースでは、Microsoftが世界的なホテルWi-Fiマルウェアキャンペーンを発見し、NuGet APIキーの有効期間を30日間に制限しました。

また、マルウェアがGoogleパスキーを窃取できる新たな手法を発見し、パスワードレス認証システムのセキュリティに対する懸念がさらに高まっています。

Via BleepingComputer