Руководителей компаний атакуют через звонки от «ИТ-поддержки»
Злоумышленники выманивают у сотрудников данные для входа и подтверждения MFA, а затем похищают корпоративные данные из Microsoft 365 и других SaaS-сервисов для вымогательства.
Исследователи Arctic Wolf сообщили о масштабной серии атак на Microsoft 365 и другие облачные SaaS-сервисы. Злоумышленники звонят руководителям и старшим сотрудникам компаний, выдавая себя за внутреннюю ИТ-службу или службу поддержки, после чего направляют жертву на поддельную страницу аутентификации.
Активность отслеживается под обозначением PREY-0058. По оценке Arctic Wolf, используемые приёмы во многом совпадают с методами группы UNC6671, о которой ранее сообщала Mandiant. При этом такие названия не подтверждают, что за всеми эпизодами стоит один и тот же оператор: речь может идти о связанных группах, отдельных участниках или командах, использующих общую фишинговую инфраструктуру.
Во время звонка жертве предлагают перейти на адрес, похожий на страницу настройки MFA или passkey. Исследователи перечислили, в частности, домены assignpasskey[.]com, mfaregister[.]com, nowsso[.]com и registermymfa[.]com. Эти сайты показывают контролируемую злоумышленниками промежуточную страницу входа Microsoft 365, которая перехватывает учётные данные и подтверждения многофакторной аутентификации.
Получив токен активной сессии, атакующие повторно используют его для входа в аккаунт. Для этого применяется прокси-инфраструктура, в том числе NodeMaven; подключения могут идти с IP-адресов, соответствующих географии и автономной системе жертвы. После входа злоумышленники изучают доступные приложения и сведения об учётной записи, а затем ищут данные в SharePoint и Microsoft Entra ID.
На заключительном этапе они массово собирают и выгружают данные из SharePoint, OneDrive, Exchange и Box, после чего направляют требования о выкупе. В описанных атаках не используется вредоносное ПО на конечных устройствах и нет перемещений по внутренней сети: доступ к данным получают через уже авторизованные облачные сеансы.
Среди целей — организации из США, прежде всего из строительной и инженерной отраслей, здравоохранения и фармацевтики, управления недвижимостью, финансового сектора и профессиональных услуг. Arctic Wolf рекомендует ограничивать доступ пользователей к данным SharePoint, применять политики Conditional Access и устойчивую к фишингу MFA, а также обучать сотрудников и специалистов поддержки распознавать телефонное мошенничество.