In Breve
- Qual è l'obiettivo della campagna di phishing?
- Sottrarre credenziali di accesso agli utenti Microsoft 365, anche se protetti da MFA.
- Come funziona l'attacco?
- Utilizza email false di RingCentral per catturare token MFA e accedere agli account.
- Dove è attiva la piattaforma Greatness?
- Negli Stati Uniti, Regno Unito, Australia, Canada e Sudafrica.
Una nuova e sofisticata campagna di phishing sta prendendo di mira gli utenti di Microsoft 365, sfruttando email che impersonano RingCentral. L’obiettivo è sottrarre credenziali di accesso, anche se protette da autenticazione a più fattori (MFA). Questo attacco si basa su una piattaforma di phishing-as-a-service chiamata Greatness, che ha evoluto le sue capacità da semplice strumento di furto di credenziali a un sistema in grado di acquisire token di autenticazione approvati dalla MFA.
I messaggi ingannevoli, che si presentano come notifiche di voicemail o valutazioni delle prestazioni, provengono da server non riconosciuti e non conformi ai controlli SPF e DMARC. Queste email rimandano a pagine di login contraffatte, progettate per catturare i token MFA e consentire agli attaccanti di accedere agli account senza completare il normale processo di autenticazione.
Una volta ottenuto l’accesso, gli aggressori possono esplorare caselle di posta Outlook, conversazioni su Teams, siti SharePoint e accedere a file OneDrive, contatti, calendari e applicazioni registrate tramite Microsoft Graph. Sebbene non confermata, è possibile che gli aggressori abbiano utilizzato indirizzi email esfiltrati nel recente data breach di RingCentral, attribuito al gruppo ShinyHunters.
La piattaforma Greatness è attiva da almeno quattro anni e prende di mira utenti negli Stati Uniti, Regno Unito, Australia, Canada e Sudafrica. È inoltre disponibile per l’acquisto su canali Telegram, con offerte che partono da 289 dollari al mese. Non sono ancora disponibili dati sul numero complessivo delle vittime.