Эта опасная фишинговая атака нацелена на пользователей Microsoft по всему миру, поэтому будьте начеку
11 мая 2023 г.Субъекты угроз все чаще используют Greatness, фишинг. -a-service (PhaaS), чтобы ориентировать компании по всему миру на аутентичные целевые страницы, которые на самом деле просто крадут конфиденциальные данные.
Согласно новому отчету Cisco Talos, инструмент, впервые созданный в середине 2022 года, демонстрирует значительный рост числа пользователей, поскольку злоумышленники нацелены на Microsoft 365 от компаний из США, Канады, Великобритании, Австралии и Южной Африки.
Злоумышленники подходит для фирм в сфере производства, здравоохранения, технологий, образования, недвижимости, строительства, финансов и бизнес-услуг, желающих получить конфиденциальные данные или учетные данные пользователей.
Простая настройка
Хуже всего то, что Greatness значительно упрощает процесс настройки фишинговой кампании, существенно снижая порог входа.
Чтобы атаковать фирму, хакерам нужно сделать всего несколько вещей: войти в сервис, используя свой API-ключ; предоставить список целевых адресов электронной почты; создайте содержание электронного письма (и измените любые другие детали по умолчанию, если они сочтут нужным).
После этого Greatness берет на себя всю рутинную работу по рассылке писем жертвам. Те, кто попадется на уловку и откроет прилагаемое вложение, получат запутанный код JavaSCript, который подключается к серверу службы и захватывает вредоносную целевую страницу.
Сама страница частично автоматизирована: она берет журнал целевой компании и фоновое изображение с подлинной страницы входа в Microsoft 365 работодателя и предварительно заполняет правильный адрес электронной почты, делая его более правдоподобным для цели.
Затем целевая страница действует как посредник между пользователем и фактической страницей входа в Microsoft 365, проходя через процесс проверки подлинности и даже запрашивая код MFA, если для учетной записи настроена многофакторная проверка подлинности. Как только пользователь входит в систему, злоумышленники захватывают файл cookie сеанса через Telegram, обходят MFA и получают доступ.
"Сеансы с проверкой подлинности обычно истекают через некоторое время, что, возможно, является одной из причин, по которой используется телеграмм-бот. - он информирует злоумышленника о действительных файлах cookie как можно скорее, чтобы гарантировать, что они могут быстро получить доступ, если цель интересна», — говорится в отчете Cisco.
- Познакомьтесь с лучшими инструментами для удаления вредоносных программ прямо сейчас
Через: BleepingComputer
Оригинал