調達関連を装ったメールとAdversary-in-the-Middle(AiTM)キットを組み合わせた高度なフィッシングキャンペーンが確認されました。このキャンペーンは、MFAで保護されたMicrosoft 365セッションの窃取を狙っています。
報告によると、このキャンペーンはRFI(情報提供依頼)、入札案内、プロジェクト文書を装った誘導手口を通じて、企業、大学、多国籍組織、公共部門の各種団体を標的にしています。
攻撃者は、事前に侵害済みの組織メールアカウントからメッセージを送信しています。これにより、メールの信頼性が高まるだけでなく、組織内外へのさらなるフィッシング拡散にも利用されています。
被害者は、OpenGov、ConstructConnect、国連関連プラットフォームなどになりすました偽のファイル共有ページへと誘導されます。
これらのページには、被害者固有のメールアドレスを含むURLパス、ファイルダウンロードの促し、CAPTCHA認証、緊急性を煽る文言などが盛り込まれており、一連の流れを本物らしく見せかける仕組みになっています。
研究者らは、testserveren[.]com、barifurniture[.]net、satoriestate[.]com、sohantraders[.]com、vresortsliving[.]comといった、侵害された可能性が高い古参ドメイン上で悪意あるダウンロードポータルを確認しました。
新規登録のフィッシングサイトではなく、こうした休眠ドメインを利用することで、攻撃者はレピュテーションベースのブロッキングを回避しやすくなります。
被害者が段階的なダウンロードとCAPTCHA認証を通過すると、キャンペーンは複製されたMicrosoft 365サインインページを表示します。このページは標的組織向けにブランディングされている場合もあります。
AiTMサーバーは、認証情報とMFAのやり取りをリアルタイムで実際のMicrosoft認証サービスへ中継し、その後、認証済みのブラウザセッションを傍受します。
同時に、FlowerStormもMicrosoft 365ユーザーを標的とし、AiTM手法を通じてMFAを回避するよう設計されています。
これまでに確認されたFlowerStorm関連ドメインは、企業らしさを装った用語を組み合わせた、RDGA的な命名パターンを繰り返し使用する傾向があります。
窃取されたセッショントークンがあれば、攻撃者は被害者のパスワードやMFAコードを繰り返し要求することなく、メールボックスやクラウドアカウントへの認証済みアクセスを得られます。このアクセスは、ビジネスメール詐欺(BEC)、組織内フィッシング、データ窃取、横展開の足がかりとして悪用される恐れがあります。
組織は、不審な調達関連メール、文書共有リンク、CAPTCHA認証を伴うサインイン画面を高リスクとして扱うべきです。特に、依頼していない文書リンクをクリックした後にログインページが表示される場合は注意が必要です。
フィッシング耐性のある認証方式、条件付きアクセス制御、セッション監視、DNSインテリジェンス、迅速なトークン失効措置により、こうした攻撃への露出を低減できると、techcommunityのInfobloxは述べています。
注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記(例: [.])を用いています。再度有効な形式に戻す作業は、MISP、VirusTotal、あるいは自社のSIEMなど、管理された脅威インテリジェンス基盤内でのみ行ってください。
SOC調査の死角をなくし、脅威を早期に封じ込めることで、ANY.RUNを使って対応コストと業務への影響を抑えましょう。
翻訳元: https://cyberpress.org/aitm-kits-hijack-microsoft-365/
