Greatness Phishing Service imita RingCentral para roubar contas Microsoft 365

O serviço de phishing Greatness agora finge ser a RingCentral para roubar contas do Microsoft 365 por meio de ataques do tipo adversário no meio e de código de dispositivo.

Inicialmente, o Greatness funcionava como um serviço de phishing tradicional de roubo de credenciais. Desde então, evoluiu para uma plataforma mais ampla que pode capturar tokens de autenticação e contornar algumas formas de autenticação multifator.

As campanhas têm como alvo principal utilizadores nos Estados Unidos, Canadá, Reino Unido, Austrália e África do Sul. A plataforma também se expandiu para além do Microsoft 365, passando a suportar ataques contra contas do iCloud, Yahoo e Google Workspace.

Invasores fingem ser notificações da RingCentral

Pesquisadores do ZeroBEC observaram operadores do Greatness a explorar o estatuto de confiança da RingCentral para contornar proteções de segurança de e-mail.

Os invasores falsificaram o endereço service@ringcentral[.]com e enviaram e-mails maliciosos para clientes legítimos da RingCentral. As mensagens apareciam como notificações de correio de voz ou alertas de revisão de desempenho de funcionários.

Cada e-mail incluía um aviso falso a alegar que o remetente tinha recebido aprovação através da lista de remetentes seguros da organização. Esta mensagem fazia os e-mails parecerem mais confiáveis e incentivava os destinatários a clicar num botão incorporado.

De acordo com o ZeroBEC, o Microsoft Exchange atribuiu às mensagens um Nível de Confiança de Spam de -1. Essa classificação permitiu que os e-mails evitassem a filtragem normal de spam.

Greatness rouba tokens de autenticação do Microsoft 365

Clicar no botão malicioso redirecionava as vítimas para a infraestrutura controlada pelos operadores do Greatness.

Algumas vítimas chegavam a uma página de phishing do tipo adversário no meio da Microsoft. A página capturava tokens de autenticação depois de o utilizador concluir um pedido de MFA.

Outras vítimas entravam num processo de phishing de código de dispositivo, que as persuadia a autorizar uma sessão controlada pelo invasor através do sistema de autenticação legítimo da Microsoft.

Depois de obter acesso, os invasores reutilizavam tokens roubados do Microsoft 365 através de servidores privados virtuais e serviços de VPN comerciais. Isto permitia-lhes entrar nas contas comprometidas sem precisarem de outro início de sessão padrão.

Invasores vasculham e-mails, conversas do Teams e ficheiros na nuvem

Os invasores vasculhavam caixas de correio do Outlook e conversas do Microsoft Teams após comprometerem uma conta.

Também acediam a sites do SharePoint, ficheiros do OneDrive, contactos, calendários e aplicações registadas. Grande parte das informações era recolhida através do Microsoft Graph.

Em alguns casos, o acesso não autorizado permaneceu ativo por mais de duas semanas, dando tempo para que os invasores procurassem informações comerciais confidenciais e identificassem alvos adicionais.

Pesquisadores examinam possível ligação a violação da RingCentral

A RingCentral confirmou recentemente uma violação de dados separada, reivindicada pelo grupo de ameaças ShinyHunters. A empresa informou que o incidente afetou informações pertencentes a um número limitado de clientes e que estava a contactá-los diretamente.

O ZeroBEC acredita que os utilizadores do Greatness possam ter obtido uma lista de clientes válidos da RingCentral a partir dessa violação. No entanto, os pesquisadores não conseguiram confirmar uma ligação direta entre os incidentes.

As organizações devem rever as listas de permissões de e-mail

As equipas de segurança devem rever as listas de remetentes seguros e as listas de permissões de e-mail em busca de exceções excessivamente amplas. As organizações devem substituir exclusões genéricas de domínio por regras que também exijam autenticação SPF, DKIM e DMARC válida.

Os administradores também devem investigar inícios de sessão incomuns do Microsoft 365 aprovados por MFA provenientes de fornecedores de alojamento, servidores privados virtuais ou endereços de VPN comerciais.

Quando os administradores suspeitam de um comprometimento, devem revogar imediatamente o acesso ativo e os tokens de atualização. Devem igualmente rever permissões OAuth, atividade do Microsoft Graph, aplicações registadas e o acesso em todos os serviços do Microsoft 365.

Noutras notícias de segurança, a Microsoft descobriu uma campanha global de malware em Wi-Fi de hotéis e limitou a validade das chaves de API do NuGet para 30 dias.

O malware também descobriu novas técnicas que podem roubar chaves de acesso do Google, levantando preocupações adicionais sobre a segurança dos sistemas de autenticação sem palavra-passe.

Via BleepingComputer