フィッシング・アズ・ア・サービス(PhaaS)プラットフォームのGreatnessが機能を拡張し、敵対者中間者(AiTM)フィッシング、デバイスコード攻撃、OAuth同意の悪用を通じてサイバー犯罪者がMicrosoft 365アカウントを標的にできるようになりました。
このサービスはTelegramチャンネルを通じて月額289ドルで販売されており、利用者には一元管理ダッシュボード、キャンペーン統計、設定可能なドメイン、CAPTCHAオプション、そして11種類以上の既製の誘導テンプレートが提供されます。
Greatnessは少なくとも2022年半ばからMicrosoft 365ユーザーを標的にしてきましたが、新機能を見ると単純なパスワード窃取からの方向転換がうかがえます。
このプラットフォームにより、説得力のあるフィッシング攻撃を仕掛けるために必要な技術的スキルのハードルが下がっています。
用意されているテンプレートは、ボイスメール通知、ドキュメント共有通知、QRコードメッセージ、OneDriveファイル、動画プレーヤー、音声ログインページなど、一般的な業務フローを模倣したものです。
テンプレートにはあらかじめ用意されたHTMLファイル、PDFリダイレクター、SVGコンテンツ、手紙形式の誘導文などが含まれており、利用者はフィッシングページをゼロから設計しなくてもキャンペーンを展開できます。
このサービスモデルはフィッシングをサブスクリプション型商品に変えるものです。利用者は標的の選定とメールの配信に専念すればよく、基盤となるインフラはプラットフォーム側が提供します。
研究者らによると、最近のキャンペーンではRingCentralのボイスメールを装った偽装メールが使われ、実際にRingCentralサービスを利用している組織が標的にされたとのことです。
これらのメッセージは、メール環境における信頼済み送信者の除外設定を悪用していたとみられ、SPF、DKIM、DMARCの検証に失敗した場合でも受信トレイに届いていたと報告されています。
これは、信頼できるベンダーのドメインのみを根拠とした広範なメール許可リストのルールがいかに危険であるかを示しています。
悪意のあるリンクをクリックした被害者は、5段階のリダイレクトチェーンを経由させられる可能性があります。このチェーンでは、標的をAiTMプロキシページやデバイスコードフィッシングのエンドポイントへ送り込む前に、解析回避のチェック、ブラウザフィンガープリンティング、CAPTCHAゲートが用いられます。
こうした仕組みにより自動スキャンや簡易的な調査が難しくなる一方で、攻撃者はセキュリティ研究者やサンドボックス環境を選別・除外しやすくなっています。
盗まれたセッショントークンは、パスワードよりも価値が高い場合があります。それにより攻撃者は、追加のMFA要求をトリガーすることなく、すでに認証済みのセッションを再利用できる可能性があるためです、とzerobecは述べています。
Greatnessは現在、正規のOAuth 2.0デバイス認可グラントを悪用するデバイスコードフィッシングにも対応しています。被害者はもっともらしい理由を提示され、Microsoftの本物の確認ページにアクセスして、渡されたデバイスコードを入力するよう誘導されます。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を完全に確保し、SOCを強化してMTTRを削減しましょう
翻訳元: https://cyberpress.org/greatness-phishing-kit-exposed/
