Greatness nätfisketjänst spoofar RingCentral för att stjäla Microsoft 365-konton

Phishingtjänsten Greatness utger sig nu för att vara RingCentral för att stjäla Microsoft 365-konton via adversary-in-the-middle- och device-code-attacker.

Greatness fungerade till en början som en traditionell nätfisketjänst för stöld av inloggningsuppgifter. Den har sedan dess utvecklats till en bredare plattform som kan fånga autentiseringstoken och kringgå vissa former av multifaktorautentisering.

Kampanjerna har främst riktats mot användare i USA, Kanada, Storbritannien, Australien och Sydafrika. Plattformen har också expanderat bortom Microsoft 365 till att stödja attacker mot iCloud-, Yahoo- och Google Workspace-konton.

Angripare utger sig för att vara RingCentral-aviseringar

ZeroBEC-forskare observerade att Greatness-operatörer utnyttjar RingCentrals betrodda status för att kringgå e-postsäkerhetsskydd.

Angriparna förfalskade adressen service@ringcentral[.]com och skickade skadliga e-postmeddelanden till legitima RingCentral-kunder. Meddelandena såg ut som röstmeddelandeaviseringar eller varningar om medarbetarsamtal.

Varje e-postmeddelande innehöll ett påhittat meddelande som hävdade att avsändaren hade fått godkännande via organisationens lista över säkra avsändare. Detta meddelande fick e-postmeddelandena att verka mer pålitliga och uppmuntrade mottagarna att klicka på en inbäddad knapp.

Enligt ZeroBEC tilldelade Microsoft Exchange meddelandena en skräppostkonfidensnivå (SCL) på -1. Den klassificeringen gjorde att e-postmeddelandena kunde undvika normal skräppostfiltrering.

Greatness stjäl Microsoft 365-autentiseringstoken

Genom att klicka på den skadliga knappen omdirigerades offren till infrastruktur som kontrolleras av Greatness-operatörer.

Vissa offer hamnade på en Microsoft adversary-in-the-middle-nätfiskesida. Sidan fångade autentiseringstoken efter att användaren slutfört en MFA-begäran.

Andra offer gick igenom en device-code-nätfiskeprocess, som övertalade dem att godkänna en angriparkontrollerad session via Microsofts legitima autentiseringssystem.

Efter att ha fått åtkomst återanvände angriparna stulna Microsoft 365-token via virtuella privata servrar och kommersiella VPN-tjänster. Detta gjorde det möjligt för dem att gå in i komprometterade konton utan att slutföra en ny standardinloggning.

Angripare söker igenom e-post, Teams-chattar och molnfiler

Angriparna sökte igenom Outlook-postlådor och Microsoft Teams-konversationer efter att ha komprometterat ett konto.

De fick också åtkomst till SharePoint-webbplatser, OneDrive-filer, kontakter, kalendrar och registrerade program. Mycket av informationen samlades in via Microsoft Graph.

I vissa fall förblev den obehöriga åtkomsten aktiv i mer än två veckor, vilket gav angriparna tid att söka efter känslig affärsinformation och identifiera ytterligare mål.

Forskare undersöker möjlig koppling till RingCentral-intrång

RingCentral bekräftade nyligen ett separat dataintrång som påstås ha utförts av hotgruppen ShinyHunters. Företaget sade att incidenten påverkade information som tillhörde ett begränsat antal kunder och att de kontaktades direkt.

ZeroBEC tror att Greatness-användare kan ha fått tag på en lista över giltiga RingCentral-kunder från det intrånget. Forskarna kunde dock inte bekräfta ett direkt samband mellan incidenterna.

Organisationer bör granska e-posttillåtelselistor

Säkerhetsteam bör granska listor över säkra avsändare och e-posttillåtelselistor för alltför breda undantag. Organisationer bör ersätta generella domänundantag med regler som också kräver giltig SPF-, DKIM- och DMARC-autentisering.

Administratörer bör också undersöka ovanliga MFA-godkända Microsoft 365-inloggningar från webbhotell, virtuella privata servrar eller kommersiella VPN-adresser.

När administratörer misstänker ett intrång bör de omedelbart återkalla aktiv åtkomst och uppdateringstoken. De bör också granska OAuth-behörigheter, Microsoft Graph-aktivitet, registrerade program och åtkomst över Microsoft 365-tjänster.

I andra säkerhetsnyheter avslöjade Microsoft en global skadeprogramskampanj mot hotell-Wi-Fi och begränsade giltighetstiden för NuGet API-nycklar till 30 dagar.

Skadlig kod har också upptäckt nya tekniker som kan stjäla Google-passnycklar, vilket väcker ytterligare oro kring säkerheten i lösenordslösa autentiseringssystem.

Via BleepingComputer