Una nuova campagna di cybercrime sta prendendo di mira Microsoft 365 e altri servizi SaaS attraverso una combinazione particolarmente efficace di vishing, furto di token di autenticazione e infrastrutture proxy residenziali. L’attività, identificata dai threat hunter di Arctic Wolf con il nome PREY-0058, punta soprattutto a dirigenti, vicepresidenti e altri profili con accesso a una quantità significativa di informazioni aziendali.

La prima fase dell’attacco sfrutta il telefono. I criminali si spacciano per personale dell’IT o dell’help desk interno e contattano direttamente la potenziale vittima, inducendola a visitare un sito web apparentemente legato alla configurazione dell’autenticazione. I domini utilizzati seguono spesso schemi che richiamano procedure legittime per MFA, passkey e Single Sign-On, rendendo più difficile per l’utente riconoscere immediatamente la truffa.

Il collegamento conduce a una pagina di accesso Microsoft 365 controllata dagli attaccanti e progettata secondo lo schema Adversary-in-the-Middle (AitM). Il meccanismo permette di intercettare le credenziali e, soprattutto, di catturare le approvazioni MFA e i token associati alla sessione autenticata. Un passaggio che consente agli aggressori di superare una delle principali barriere introdotte negli ultimi anni contro il furto delle password.

Una volta ottenuto il token, il criminale può infatti riutilizzarlo per accedere alla sessione senza dover necessariamente ripetere l’autenticazione tradizionale. Per rendere l’attività meno sospetta, le connessioni vengono fatte transitare attraverso infrastrutture di proxy residenziali, arrivando in alcuni casi da indirizzi IP geograficamente compatibili con la posizione e l’ASN della vittima.

microsoft 365 Vishing

Crediti: Shutterstock

Dopo il primo accesso, gli aggressori effettuano attività di ricognizione sull’ambiente Microsoft 365. Vengono consultati servizi come My Signins, My Profile e My Apps per raccogliere informazioni sull’account e sulle applicazioni disponibili. Successivamente l’attenzione si sposta su SharePoint ed Entra ID, con ricerche mirate a individuare siti, documenti e altre risorse accessibili con l’account compromesso.

La fase finale è quella più pesante per l’organizzazione. I criminali procedono alla raccolta massiva dei dati presenti in SharePoint, OneDrive, Exchange e, in alcuni casi, Box. Le informazioni vengono quindi esfiltrate e utilizzate come leva per una richiesta di riscatto o di pagamento, trasformando il furto di un singolo account in un vero e proprio incidente di data extortion.

Un elemento particolarmente significativo di PREY-0058 è l’assenza di malware sugli endpoint e di tecniche convenzionali di movimento laterale all’interno della rete. L’intera operazione sfrutta prevalentemente identità legittime, servizi cloud e token di sessione rubati. Arctic Wolf ha inoltre individuato centinaia di sottodomini dell’infrastruttura utilizzata dagli aggressori che imitano aziende reali. Le vittime individuate sono distribuite soprattutto negli Stati Uniti e appartengono a settori come costruzioni e ingegneria, sanità e farmaceutica, immobiliare, finanza e servizi professionali.

Per ridurre il rischio, le organizzazioni dovrebbero rafforzare le policy Conditional Access, adottare sistemi di MFA resistenti al phishing e limitare i privilegi di accesso ai dati presenti in SharePoint. Altrettanto importante è formare dipendenti e personale dell’help desk sul vishing. Dal punto di vista del rilevamento, segnali particolarmente interessanti sono i replay anomali dei token attraverso proxy residenziali, le attività massive su SharePoint, la raccolta delle caselle di posta e la comparsa di nuove infrastrutture web che imitano procedure di autenticazione.

(Immagine in apertura: Shutterstock)