Kiedy Federalne Biuro Śledcze (FBI) publikuje specjalny komunikat społeczny dotyczący nowego zestawu do phishingu, warto zwrócić na to uwagę.
Agencja ostrzega obecnie przed platformą „Kali365” typu phishing-as-a-service (PhaaS), która umożliwia nawet mało doświadczonym hakerom przejęcie kontroli nad kontami Microsoft 365 poprzez kradzież tokenów dostępu zamiast haseł.
Chociaż wczesne doniesienia skupiają się na atakach wymierzonych w organizacje, ta sama technika działa równie skutecznie w przypadku indywidualnych użytkowników Microsoft 365, których nakłania się do wpisania krótkiego kodu na prawdziwej stronie internetowej Microsoftu. Innymi słowy, nie jest to problem dotyczący wyłącznie firm czy działów IT. Może to dotknąć każdego, kto korzysta z Outlooka, OneDrive’a lub posiada subskrypcję Microsoft 365.
Dla cyberprzestępców korzystających z tego zestawu ma on trzy wyraźne zalety:
- Ominięto w ten sposób uwierzytelnianie wieloskładnikowe (MFA) poprzez kradzież tokenów dostępu, więc dodatkowe kody lub aplikacje przestają być skuteczne, gdy token zostanie naruszony.
- Kali365 zapewnia stały dostęp. Atakujący mogą nadal korzystać z Outlooka, Teams i OneDrive bez konieczności wielokrotnego logowania, pod warunkiem, że skradziony token odświeżania pozostaje ważny.
- Nie wymaga to dużych umiejętności technicznych. Cyberprzestępcy mogą wykupić subskrypcję Kali365 i od razu rozpocząć zakrojone na szeroką skalę kampanie mające na celu kradzież tokenów.
Jak wygląda ten atak?
Ofiary otrzymują wiadomość phishingową, która wygląda, jakby pochodziła z usługi w chmurze lub narzędzia do współpracy, np. powiadomienia o udostępnianiu dokumentów lub Teams Zaproś. Wiadomość zawiera krótki „kod urządzenia” i instrukcje, takie jak: „Przejdź na stronę weryfikacyjną Microsoftu i wprowadź ten kod, aby wyświetlić dokument”.
Oszustwo czy uczciwa oferta? Scam Guard to wie.
W odróżnieniu od wielu wiadomości phishingowych ta przekierowuje użytkownika na prawdziwy adres URL firmy Microsoft, wykorzystywany w procesie logowania na urządzeniach. Dla użytkownika strona wygląda znajomo i całkowicie wiarygodnie, co zmniejsza jego podejrzliwość.
Ofiary widzą wtedy standardowe ekrany logowania i wyrażania zgody firmy Microsoft i mogą sądzić, że po prostu przechodzą zwykłą procedurę weryfikacji bezpieczeństwa. Nigdy nie widzą fałszywej strony, nigdy nie wpisują hasła w podejrzanym formularzu, a nawet mogą dostrzec elementy identyfikacji wizualnej swojej organizacji.
Nie zdają sobie jednak sprawy, że w ten sposób umożliwili atakującemu dostęp do systemu.
Po zatwierdzeniu żądania przez ofiarę urządzenie atakującego otrzymuje tokeny dostępu OAuth i odświeżania powiązane z kontem Microsoft 365 ofiary. Tokeny te są używane przez Microsoft do „zapamiętywania” faktu, że użytkownik był już zalogowany, i mogą być ponownie wykorzystane do uzyskania dostępu do Outlooka, OneDrive i innych usług. Teams i innych usług firmy Microsoft bez konieczności ponownego wpisywania hasła.
Dysponując ważnymi tokenami odświeżającymi, osoby atakujące mogą utrzymać długotrwały dostęp do momentu unieważnienia lub wygaśnięcia tokenów, często wtapiając się w normalną aktywność na koncie.
Dostęp ten może umożliwić cyberprzestępcom:
- Czytaj wiadomości e-mail z programu Outlook, w tym wiadomości dotyczące resetowania hasła
- Uzyskaj dostęp do plików przechowywanych w usłudze OneDrive lub SharePoint
- Wysyłaj wiadomości phishingowe do współpracowników, klientów, znajomych lub rodziny z konta ofiary
Jak się chronić
Po uzyskaniu dostępu do programu Outlook osoby atakujące mogą nie tylko przeglądać Twoje wiadomości, ale także wysyłać nowe, wiarygodne wiadomości z Twojego adresu, wykorzystując Twoją tożsamość do przejęcia kolejnych kont i kontaktów.
Kilka wskazówek, jak tego uniknąć:
- Nigdy nie wpisuj kodu na stronie logowania Microsoftu tylko dlatego, że tak nakazuje Ci wiadomość e-mail lub komunikat. Powinieneś to robić wyłącznie wtedy, gdy sam zainicjowałeś logowanie na swoim urządzeniu.
- Zatrzymaj się na chwilę i przeczytaj instrukcje. Pośpieszne zatwierdzanie logowań bez dokładnego zapoznania się z nimi może drogo kosztować.
- Zachowaj podejrzliwość w przypadku nieoczekiwanego udostępniania dokumentów, Teams zaproszeń lub próśb o zalogowanie, nawet jeśli korzystają z legalnych stron Microsoft.
- Sprawdź, jakie urządzenia są zalogowane na Twoim koncie pod adresem https://account.microsoft.com/devices/. Jeśli zauważysz nieznane urządzenia lub logowania, usuń je, zmień hasło do konta Microsoft i sprawdź ustawienia zabezpieczeń.
Porada: Malwarebytes Scam Guard może pomóc Ci sprawdzić, czy wiadomość jest próbą oszustwa.
Bądźmy szczerzy, możliwości okna incognito są ograniczone.
Naruszenia, handel w dark webie, oszustwa kredytowe. Ochrona Theft Identity Malwarebytes monitoruje wszystkie te zagrożenia, szybko Cię ostrzega i obejmuje ubezpieczenie od kradzieży tożsamości.
