Greatness Phishing Service が RingCentral をなりすまして Microsoft 365 アカウントを盗む

フィッシングサービス「Greatness」が現在、RingCentralを偽装し、Adversary-in-the-Middle攻撃やデバイスコード攻撃を通じてMicrosoft 365アカウントを窃取しています。

Greatnessは当初、従来型の認証情報窃取型フィッシングサービスとして運用されていました。それ以降、認証トークンを捕捉し、一部の多要素認証を回避できる、より広範なプラットフォームへと進化を遂げています。

これまでのキャンペーンは、主に米国、カナダ、英国、オーストラリア、南アフリカのユーザーを標的としてきました。このプラットフォームはMicrosoft 365にとどまらず、iCloud、Yahoo、Google Workspaceのアカウントを狙う攻撃にも対応できるよう拡張されています。

攻撃者がRingCentralの通知を偽装

ZeroBECの研究者は、Greatnessの運営者がRingCentralの信頼された地位を悪用し、メールセキュリティ保護を回避していることを確認しました。

攻撃者は、service@ringcentral[.]com のアドレスを詐称し、正規のRingCentral顧客に悪意のあるメールを送信していました。これらのメッセージは、ボイスメール通知や従業員の業績評価アラートを装っていました。

各メールには、送信者が組織の差出人セーフリストを通じて承認を受けたと主張する偽の通知が含まれていました。このメッセージによって、メールの信頼性が高く見え、受信者は埋め込まれたボタンをクリックするように促されました。

ZeroBECによると、Microsoft Exchangeはこれらのメッセージに「Spam Confidence Level -1」を割り当てました。この分類により、メールは通常のスパムフィルタリングを回避できました。

GreatnessがMicrosoft 365認証トークンを窃取

悪意のあるボタンをクリックすると、被害者はGreatness運営者が管理するインフラストラクチャにリダイレクトされました。

一部の被害者は、MicrosoftのAdversary-in-the-Middleフィッシングページに到達しました。このページは、ユーザーがMFAリクエストを完了した後、認証トークンを捕捉しました。

他の被害者はデバイスコードフィッシングのプロセスに誘導され、Microsoftの正規の認証システムを通じて、攻撃者が制御するセッションを承認するよう説得されました。

アクセスを取得した後、攻撃者は仮想プライベートサーバーや商用VPNサービスを通じて、盗み出したMicrosoft 365トークンを再利用しました。これにより、通常のサインインを改めて完了することなく、侵害したアカウントに侵入することが可能になりました。

攻撃者がメール、Teamsのチャット、クラウドファイルを検索

攻撃者はアカウントを侵害した後、OutlookのメールボックスやMicrosoft Teamsの会話を検索しました。

また、SharePointサイト、OneDriveファイル、連絡先、予定表、登録済みアプリケーションにもアクセスしました。情報の多くはMicrosoft Graphを通じて収集されました。

一部のケースでは、不正アクセスが2週間以上にわたってアクティブな状態を維持し、攻撃者に機密性の高いビジネス情報を検索し、追加の標的を特定する時間を与えました。

研究者がRingCentral侵害との関連性の可能性を調査

RingCentralは最近、脅威グループ「ShinyHunters」が主張する別のデータ侵害を確認しました。同社は、このインシデントが限られた数の顧客に属する情報に影響を与えたとし、対象の顧客に直接連絡を取っていると述べました。

ZeroBECは、Greatnessのユーザーがこの侵害から有効なRingCentral顧客のリストを入手した可能性があると考えています。しかし、研究者らはこれらのインシデント間の直接的な関連性を確認できませんでした。

組織はメールの許可リストを見直すべき

セキュリティチームは、過度に広範な例外がないか、差出人セーフリストとメールの許可リストを確認する必要があります。組織は、包括的なドメイン除外を、有効なSPF、DKIM、DMARC認証も要求するルールに置き換えるべきです。

管理者は、ホスティングプロバイダー、仮想プライベートサーバー、または商用VPNアドレスからの、MFA承認済みのMicrosoft 365への異常なサインインについても調査する必要があります。

管理者が侵害の疑いを持った場合、アクティブなアクセス権と更新トークンを直ちに取り消す必要があります。また、OAuthアクセス許可、Microsoft Graphアクティビティ、登録済みアプリケーション、Microsoft 365サービス全体にわたるアクセスを確認する必要があります。

その他のセキュリティ関連ニュースとして、Microsoftは世界的なホテルWi-Fiマルウェアキャンペーンを発見し、NuGet APIキーの有効期間を30日間に短縮しました。

また、マルウェアがGoogleパスキーを窃取できる新たな手法を発見したことで、パスワードレス認証システムの安全性に対する懸念がさらに高まっています。

Via BleepingComputer