Microsoft reveló el martes que una campaña de phishing a gran escala se dirigió a más de 10,000 organizaciones desde septiembre de 2021 al secuestrar el proceso de autenticación de Office 365 incluso en cuentas protegidas con autenticación multifactor (MFA).
«Los atacantes luego usaron las credenciales robadas y las cookies de sesión para acceder a los buzones de correo de los usuarios afectados y realizar campañas de compromiso de correo electrónico comercial (BEC) de seguimiento contra otros objetivos», informaron los equipos de seguridad cibernética de la compañía .
Las intrusiones implicaron la creación de sitios de phishing de adversario en el medio (AitM), en los que el adversario implementa un servidor proxy entre una víctima potencial y el sitio web objetivo para que los destinatarios de un correo electrónico de phishing sean redirigidos a páginas de destino similares diseñadas para capturar credenciales. y la información de MFA.
«La página de phishing tiene dos sesiones diferentes de Transport Layer Security (TLS): una con el objetivo y otra con el sitio web real al que el objetivo quiere acceder», explicó la compañía.
«Estas sesiones significan que la página de phishing funciona prácticamente como un agente AitM, interceptando todo el proceso de autenticación y extrayendo datos valiosos de las solicitudes HTTP, como contraseñas y, lo que es más importante, cookies de sesión».
Armados con esta información, los atacantes inyectaron las cookies en sus propios navegadores para eludir el proceso de autenticación, incluso en escenarios donde la víctima había habilitado las protecciones MFA.
La campaña de phishing detectada por Microsoft se orquestó para señalar a los usuarios de Office 365 falsificando la página de autenticación en línea de Office, y los actores usaron el kit de phishing Evilginx2 para llevar a cabo los ataques AitM.
Esto implicó el envío de mensajes de correo electrónico que contenían señuelos temáticos de mensajes de voz que se marcaron con gran importancia, engañando a los destinatarios para que abrieran archivos adjuntos HTML con malware que redirigían a las páginas de destino de robo de credenciales.
Para completar la artimaña, los usuarios finalmente fueron redirigidos al sitio web legítimo de office[.]com después de la autenticación, pero no antes de que los atacantes aprovecharan el enfoque AitM antes mencionado para desviar las cookies de sesión y obtener control sobre la cuenta comprometida.
Los ataques no terminaron ahí, ya que los atacantes abusaron del acceso a su buzón de correo para realizar pagos fraudulentos mediante el uso de una técnica llamada secuestro de hilos de correo electrónico para engañar a las partes en el otro extremo de la conversación para transferir fondos ilícitamente a cuentas bajo su control.
Para enmascarar aún más sus comunicaciones con el objetivo del fraude, los actores de amenazas también crearon reglas de buzón que automáticamente movían cada correo electrónico entrante que contenía el nombre de dominio relevante a la carpeta «Archivo» y lo marcaban como «leído».
«Después del robo de credenciales y sesiones, un atacante tardó tan solo cinco minutos en lanzar su fraude de pago de seguimiento», señaló Microsoft.
Se dice que los atacantes emplearon Outlook Web Access (OWA) en un navegador Chrome para realizar las actividades fraudulentas, al mismo tiempo que eliminaron de la carpeta de la bandeja de entrada de la cuenta el correo electrónico de phishing original, así como las comunicaciones de seguimiento con el objetivo tanto del archivo y las carpetas Elementos enviados para borrar rastros.
«Esta campaña de phishing de AiTM es otro ejemplo de cómo las amenazas continúan evolucionando en respuesta a las medidas y políticas de seguridad que las organizaciones implementan para defenderse de posibles ataques», dijeron los investigadores.
«Si bien el phishing de AiTM intenta eludir la MFA, es importante subrayar que la implementación de la MFA sigue siendo un pilar esencial en la seguridad de la identidad. La MFA sigue siendo muy eficaz para detener una amplia variedad de amenazas; su eficacia es la razón por la que surgió el phishing de AiTM en primer lugar».
Los hallazgos se producen cuando un grupo de investigadores de la Universidad de Stony Brook y Palo Alto Networks demostraron a fines del año pasado una nueva técnica de huellas dactilares que hace posible identificar kits de phishing de AitM en la naturaleza utilizando una herramienta llamada PHOCA.
