In Breve
- Cosa è la campagna di phishing che colpisce Microsoft 365?
- È un attacco che utilizza email false di RingCentral per sottrarre account, aggirando l'autenticazione a più fattori.
- Qual è la piattaforma utilizzata per questo attacco?
- La piattaforma si chiama Greatness e permette di acquisire token di autenticazione.
- Chi potrebbe essere responsabile di questo attacco?
- Potrebbe essere attribuito al gruppo di hacker ShinyHunters, a causa di un recente data breach di RingCentral.
Una recente campagna di phishing ha preso di mira gli utenti di Microsoft 365, utilizzando email che si spacciano per comunicazioni ufficiali di RingCentral. Questo attacco è progettato per sottrarre account, anche quando questi sono protetti da autenticazione a più fattori (MFA).
Il meccanismo alla base di questo attacco si basa su una piattaforma di phishing-as-a-service nota come Greatness. Questa piattaforma ha evoluto le sue capacità, passando da un semplice strumento di furto di credenziali a un sistema complesso in grado di acquisire token di autenticazione approvati dalla MFA. Non solo Microsoft 365 è nel mirino, ma anche account di servizi come iCloud, Yahoo e Google Workspace.
I messaggi di phishing sono presentati come notifiche di voicemail o valutazioni delle prestazioni, inviati da server non riconosciuti. Queste email risultano non conformi ai controlli SPF e DMARC, e rimandano a pagine di login contraffatte. Qui, i token MFA vengono catturati, consentendo agli aggressori di accedere agli account senza dover completare il normale processo di autenticazione.
Una volta ottenuto l’accesso, gli attaccanti possono enumerare caselle di posta Outlook, accedere a conversazioni su Teams e siti SharePoint, nonché visualizzare file su OneDrive, contatti, calendari e applicazioni registrate tramite Microsoft Graph.
È ipotizzabile che gli aggressori abbiano sfruttato indirizzi email esfiltrati durante un recente data breach di RingCentral, attribuito al gruppo di hacker noto come ShinyHunters, anche se questa connessione non è stata confermata ufficialmente.
La piattaforma Greatness è attiva da almeno quattro anni e ha colpito utenti in diverse nazioni, tra cui Stati Uniti, Regno Unito, Australia, Canada e Sudafrica. Inoltre, viene proposta in vendita su canali Telegram, con offerte pubblicizzate intorno a 289 dollari al mese.
Attualmente, non sono disponibili dati sul numero complessivo delle vittime di questa campagna di phishing, ma l’allerta è alta tra gli esperti di sicurezza informatica.
