Greatness Phishing Service falsifica o RingCentral para roubar contas do Microsoft 365

O serviço de phishing Greatness agora faz-se passar pelo RingCentral para roubar contas do Microsoft 365 através de ataques de adversário no meio e de código de dispositivo.

O Greatness operava inicialmente como um serviço tradicional de phishing para roubo de credenciais. Desde então, evoluiu para uma plataforma mais ampla, capaz de capturar tokens de autenticação e contornar algumas formas de autenticação multifator.

As campanhas têm visado principalmente utilizadores nos Estados Unidos, Canadá, Reino Unido, Austrália e África do Sul. A plataforma também se expandiu para além do Microsoft 365, suportando ataques contra contas do iCloud, Yahoo e Google Workspace.

Atacantes fazem-se passar por notificações do RingCentral

Os investigadores da ZeroBEC observaram os operadores do Greatness a explorar o estatuto de confiança do RingCentral para contornar as proteções de segurança de e-mail.

Os atacantes falsificaram o endereço service@ringcentral[.]com e enviaram e-mails maliciosos para clientes legítimos do RingCentral. As mensagens pareciam notificações de correio de voz ou alertas de avaliação de desempenho de funcionários.

Cada e-mail incluía um aviso fabricado, afirmando que o remetente tinha recebido aprovação através da lista de remetentes seguros da organização. Esta mensagem fazia os e-mails parecerem mais confiáveis e incentivava os destinatários a clicar num botão incorporado.

De acordo com a ZeroBEC, o Microsoft Exchange atribuiu às mensagens um Spam Confidence Level de -1. Essa classificação permitiu que os e-mails evitassem a filtragem normal de spam.

Greatness rouba tokens de autenticação do Microsoft 365

Clicar no botão malicioso redirecionava as vítimas para uma infraestrutura controlada pelos operadores do Greatness.

Algumas vítimas chegavam a uma página de phishing de adversário no meio da Microsoft. A página capturava tokens de autenticação depois de o utilizador concluir um pedido de MFA.

Outras vítimas entravam num processo de phishing de código de dispositivo, que as persuadia a autorizar uma sessão controlada pelo atacante através do sistema de autenticação legítimo da Microsoft.

Depois de obterem acesso, os atacantes reutilizavam os tokens roubados do Microsoft 365 através de servidores privados virtuais e serviços de VPN comerciais. Isto permitia-lhes entrar em contas comprometidas sem concluir outro início de sessão padrão.

Atacantes pesquisam e-mails, conversas do Teams e ficheiros na cloud

Os atacantes pesquisavam caixas de correio do Outlook e conversas do Microsoft Teams após comprometerem uma conta.

Também acediam a sites do SharePoint, ficheiros do OneDrive, contactos, calendários e aplicações registadas. Grande parte da informação foi recolhida através do Microsoft Graph.

Em alguns casos, o acesso não autorizado permaneceu ativo durante mais de duas semanas, dando aos atacantes tempo para pesquisar informações empresariais sensíveis e identificar alvos adicionais.

Investigadores examinam possível ligação com violação do RingCentral

O RingCentral confirmou recentemente uma violação de dados separada, reivindicada pelo grupo de ameaças ShinyHunters. A empresa afirmou que o incidente afetou informações pertencentes a um número limitado de clientes e que os estava a contactar diretamente.

A ZeroBEC acredita que os utilizadores do Greatness podem ter obtido uma lista de clientes válidos do RingCentral a partir dessa violação. No entanto, os investigadores não puderam confirmar uma ligação direta entre os incidentes.

As organizações devem rever as listas de permissões de e-mail

As equipas de segurança devem rever as listas de remetentes seguros e as listas de permissões de e-mail em busca de exceções excessivamente amplas. As organizações devem substituir as exclusões genéricas de domínios por regras que também exijam autenticação SPF, DKIM e DMARC válida.

Os administradores também devem investigar inícios de sessão invulgares no Microsoft 365 com MFA aprovado, provenientes de fornecedores de alojamento, servidores privados virtuais ou endereços de VPN comerciais.

Quando os administradores suspeitam de um comprometimento, devem revogar imediatamente o acesso ativo e atualizar os tokens. Devem também rever as permissões OAuth, a atividade do Microsoft Graph, as aplicações registadas e o acesso a todos os serviços do Microsoft 365.

Em outras notícias de segurança, a Microsoft descobriu uma campanha global de malware em Wi-Fi de hotéis e limitou a validade das chaves de API do NuGet para 30 dias.

Malware também descobriu novas técnicas que podem roubar passkeys do Google, levantando preocupações adicionais sobre a segurança dos sistemas de autenticação sem palavra-passe.

Via BleepingComputer