In Breve
- Qual è l'obiettivo della campagna di phishing?
- Sottrarre account Microsoft 365, anche se protetti da autenticazione a più fattori.
- Come funziona la piattaforma Greatness?
- Acquisisce token di autenticazione e permette l'accesso a diversi servizi online.
- Chi sono i possibili autori di questo attacco?
- Potrebbe essere il gruppo ShinyHunters, ma la connessione non è confermata.
Una nuova e sofisticata campagna di phishing sta prendendo di mira gli utenti di Microsoft 365, utilizzando email che si spacciano per comunicazioni ufficiali di RingCentral. Questo attacco mira a sottrarre informazioni sensibili, anche da account protetti da autenticazione a più fattori (MFA).
Il meccanismo alla base di questa operazione si basa su una piattaforma di phishing-as-a-service nota come Greatness. Questa piattaforma ha evoluto le sue capacità, passando da un semplice strumento di furto di credenziali a un sistema in grado di acquisire token di autenticazione approvati dalla MFA. Non solo gli utenti di Microsoft 365 sono nel mirino, ma anche quelli di piattaforme come iCloud, Yahoo e Google Workspace.
I messaggi di phishing, presentati come notifiche di voicemail o valutazioni delle prestazioni, vengono inviati da server non riconosciuti e non rispettano i controlli SPF e DMARC. Questi messaggi rimandano a pagine di login contraffatte, progettate per catturare i token MFA e consentire agli attaccanti di accedere agli account senza completare il normale processo di autenticazione.
Una volta ottenuto l’accesso, gli aggressori possono enumerare caselle di posta Outlook, conversazioni su Teams e siti SharePoint, accedendo a file su OneDrive, contatti, calendari e applicazioni registrate tramite Microsoft Graph. È possibile che gli attaccanti abbiano sfruttato indirizzi email esfiltrati in un recente data breach di RingCentral, attribuito al gruppo di hacker noto come ShinyHunters, anche se questa connessione non è stata confermata.
La piattaforma Greatness è attiva da almeno quattro anni e ha preso di mira utenti in diversi paesi, tra cui Stati Uniti, Regno Unito, Australia, Canada e Sudafrica. Attualmente, questa piattaforma è proposta in vendita su canali Telegram, con offerte pubblicizzate intorno ai 289 dollari al mese. Non ci sono dati disponibili sul numero complessivo delle vittime di questa campagna.
In un contesto in cui la sicurezza informatica è sempre più cruciale, è fondamentale che gli utenti di Microsoft 365 e di altre piattaforme siano vigili e adottino misure di protezione adeguate. L’uso di autenticazione a più fattori è un passo importante, ma non basta. È essenziale prestare attenzione a segnali di allerta, come email sospette e link non familiari.
