In Breve
- Cosa è la campagna di phishing contro Microsoft 365?
- È un attacco che utilizza email false di RingCentral per sottrarre account anche protetti da MFA.
- Come funziona la piattaforma Greatness?
- Greatness è un servizio di phishing-as-a-service che acquisisce token MFA e colpisce vari servizi online.
- Quali paesi sono colpiti da questa campagna?
- Gli attacchi mirano a utenti in Stati Uniti, Regno Unito, Australia, Canada e Sudafrica.
Una nuova campagna di phishing sta prendendo di mira gli utenti di Microsoft 365, utilizzando email che si spacciano per comunicazioni ufficiali di RingCentral. Questo attacco è progettato per sottrarre gli account degli utenti, anche se protetti da autenticazione a più fattori (MFA).
Il meccanismo alla base di questa operazione è una piattaforma di phishing-as-a-service chiamata Greatness. Questa tecnologia è evoluta da un semplice strumento di furto di credenziali a un sistema sofisticato in grado di acquisire token di autenticazione approvati dalla MFA, estendendo la sua portata anche a account di servizi come iCloud, Yahoo e Google Workspace.
I messaggi di phishing, presentati come notifiche di voicemail o valutazioni delle prestazioni, vengono inviati da server non riconosciuti e risultano non conformi ai controlli SPF e DMARC. Queste email rimandano a pagine di login contraffatte, dove i token MFA vengono catturati, consentendo agli aggressori di accedere agli account senza dover completare il normale processo di autenticazione.
Dopo aver ottenuto l’accesso, gli attaccanti possono enumerare le caselle di posta Outlook, visualizzare conversazioni su Teams e siti SharePoint, e accedere a file su OneDrive, contatti, calendari e applicazioni registrate tramite Microsoft Graph.
È possibile che gli aggressori abbiano sfruttato indirizzi email esfiltrati in un recente data breach di RingCentral, attribuito al gruppo di hacker noto come ShinyHunters, anche se questa connessione non è stata confermata ufficialmente.
La piattaforma Greatness è attiva da almeno quattro anni e ha preso di mira utenti in diversi paesi, tra cui Stati Uniti, Regno Unito, Australia, Canada e Sudafrica. Inoltre, viene offerta in vendita su canali Telegram, con abbonamenti pubblicizzati intorno ai 289 dollari al mese.
Attualmente, non sono disponibili dati sul numero complessivo delle vittime di questa campagna di phishing, ma la situazione evidenzia l’importanza di rimanere vigili e adottare misure di sicurezza adeguate per proteggere i propri account online.
