Arctic Wolfは、米国、カナダ、欧州にわたる医療、教育、製造、政府機関、専門サービスなどの業界の組織を標的とした、進行中のMicrosoft 365フィッシングキャンペーンを確認しました。
このキャンペーンは、「ペイロール・パイレーツ」として知られる活動クラスター「Storm-2755」と技術面・挙動面で重なりが見られ、AiTM(Adversary-in-the-Middle)型のフィッシングページを使って認証済みのMicrosoft 365セッションを窃取します。
攻撃者が主な標的としているのは、給与、人事、財務、請求書、支払い、銀行情報を扱う従業員です。単純な認証情報フィッシングとは異なり、この手口は多要素認証(MFA)が有効になっている場合でも通用してしまいます。
AiTMプロキシは、実際のMicrosoftログインプロセスをリアルタイムで中継するため、被害者は一見正規のサインインページに見える画面でMFAを完了させてしまいます。
その後攻撃者は、生成されたセッション情報を横取りし、それを使ってアカウントにアクセスします。
このキャンペーンは、自動着信通知サービスを装ったボイスメール型のフィッシングメールから始まります。メッセージにはMicrosoftのブランディングが使われ、緊急性を演出するために架空の発信者ID、日付、通話時間、参照番号が記載されています。
[Organization] :ATTN: Review messages. Ref id: [random string]
被害者は「OPEN [Organization] VOICEMAIL PORTAL」というボタンをクリックするよう促されます。
埋め込まれたURLは、Google Meetのリンクによるリダイレクト、Googleの広告インフラ、Campaign Managerのクリックトラッキング、Amazon S3上でホストされているコンテンツなど、複数の正規サービスを中継段階として利用しています。
この多段階のリダイレクトチェーンにより、攻撃者はレピュテーションベースのセキュリティ対策を回避しています。最終的な到達先は、最近登録されたばかりの攻撃者が管理するドメインで、AiTM認証プロキシとして機能します。
このインフラでは一般的に、被害者をMicrosoftを装ったフィッシングドメインへ送り込む前段階として、idp.サブドメインを持つリダイレクター用ドメインが使われています。
これらのドメインには、一見して信頼できるように見せかけるため、mslogin、msonline、msauthといったサブドメインが使われる場合があります。
プロキシ経由のMicrosoftログインページを読み込む前に、このツールキットは被害者のブラウザをフィンガープリンティングします。
この情報は、攻撃者がセキュリティ研究者や自動化されたサンドボックス、計装済みブラウザを識別する助けになる可能性があります。
また、被害者の所在国に近い場所にあるレジデンシャルプロキシのインフラを利用する際にも役立ち、悪意ある活動をより正規のものらしく見せかけることができます。
被害者が認証を完了すると、AiTMサーバーは正規のMicrosoft OAuthページをプロキシ経由で表示しつつセッション関連の情報を取得し、その後ユーザーを実際のOffice 365サイトへリダイレクトします。arcticwolfによると、被害者はこの間、特に異変に気づかない可能性があるとのことです。
数分以内に、レジデンシャルまたはモバイルのプロキシネットワークから、不審なOfficeHomeサインインが始まることがあります。
影響を受けた一部のアカウントでは、複数のレジデンシャルIPアドレスからの急速な連続サインイン、通常とは異なるブラウザとOSの組み合わせ、そしてOfficeHome認証に関連するMicrosoftエラーコード90014が確認されました。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を完全に確保し、SOCを強化してMTTRを短縮しましょう
翻訳元: https://cyberpress.org/payroll-pirates-hijack-m365-sessions/
