Aumentano gli attacchi di phishing tramite codice dispositivo su Microsoft 365

Dettagli tecnici approfonditi

La crescente attività di phishing basata su codice dispositivo sta prendendo di mira gli utenti di Microsoft 365, e questa escalation è stata attribuita alla disponibilità di EvilTokens, un nuovo kit specializzato offerto come servizio tramite Telegram. EvilTokens automatizza l'interazione con le API di Microsoft, crea email di phishing convincenti utilizzando LLMs (Large Language Models) e fornisce pagine di phishing ospitate sia dagli utenti che dall'amministratore del kit.

Il device code phishing sfrutta il flusso di autenticazione di Microsoft per ottenere accessi e refresh tokens validi. Gli attaccanti iniziano un legittimo processo di autorizzazione dispositivo, inviando poi all'utente bersaglio un codice di autenticazione e un link forniti da Microsoft. Se l'utente segue il link e inserisce il codice nel sito di autenticazione dispositivo di Microsoft, completa il flusso di autenticazione.

Con questi token, gli attaccanti possono accedere continuamente all'account compromesso senza conoscere le credenziali dell'utente o bypassare i requisiti di MFA (Multi-Factor Authentication). In scenari post-compromissione avanzati, gli attaccanti possono utilizzare il refresh token per registrare un nuovo dispositivo in Entra ID e richiedere un [Primary Refresh Token (PRT)], permettendo loro di autenticarsi silenziosamente come vittima nei servizi Microsoft 365 dell'organizzazione, bypassando le richieste di credenziali e MFA.

EvilTokens offre una varietà di modelli di phishing, tra cui notifiche di quarantena email, inviti a calendari, richieste di accesso a SharePoint, avvisi di scadenza password, richieste DocuSign e Adobe Acrobat Sign, notifiche per documenti condivisi su OneDrive e notifiche eFax. Questi modelli sono progettati per ingannare gli utenti e indurli a fornire i codici di autenticazione necessari.

Le campagne di phishing alimentate da EvilTokens sembrano mirare principalmente dipendenti nei settori della finanza, HR e trasporto/logistica. La crescente popolarità di questo metodo di attacco indica che i phishers e gli scammer BEC stanno abbracciando questa tecnica per compromettere account Microsoft 365.

Per mitigare il rischio, le organizzazioni dovrebbero sensibilizzare i dipendenti sull'importanza di prestare attenzione alle richieste inaspettate di login/codice e informarli su cosa sia l'autorizzazione dispositivo di Microsoft e quali accessi concede. L'uso delle politiche di accesso condizionale può bloccare l'autenticazione del codice dispositivo dove possibile o limitarla a utenti, dispositivi o posizioni approvati.

Le organizzazioni dovrebbero anche monitorare segni di accessi anomali da infrastrutture collegate a campagne note e revocare i refresh token in caso di sospetta compromissione. Queste misure possono aiutare a proteggere gli account dagli attacchi di phishing basati su codice dispositivo.

Dati, trend correlati, impatto sul settore

La sicurezza informatica è un settore in continua evoluzione, con nuove minacce che emergono costantemente. Uno dei trend più preoccupanti di recente è l'aumento delle attività di phishing mirate agli utenti di Microsoft 365. Questo aumento è stato attribuito alla disponibilità di EvilTokens, un nuovo kit specializzato per il phishing offerto come servizio su Telegram.

Cosa è il device code phishing?

Il device code phishing è una tecnica di attacco in cui gli aggressori ingannano gli utenti facendoli accedere ai loro account utilizzando un flusso di autenticazione reale, per poi rubare i token di accesso e refresh. Microsoft offre il Device Code Authentication per aiutare gli utenti a "accedere a dispositivi con input limitati come una smart TV, un dispositivo IoT o una stampante".

Come funziona l'attacco?

Gli attaccanti iniziano un legittimo processo di autorizzazione del dispositivo e inviano al target il codice di accesso speciale e il link forniti da Microsoft. Il successo dell'attacco dipende dalla capacità degli aggressori di convincere l'utente a seguire il link, che può essere presentato in forma normale o come QR code. Se l'utente segue le istruzioni e inserisce il codice nella pagina di autenticazione del dispositivo Microsoft, completa il flusso di autenticazione. Questo permette all'attaccante di ottenere token di accesso e refresh validi senza conoscere le credenziali dell'utente o bypassare i requisiti di autenticazione a più fattori (MFA).

Implicazioni post-compromissione

In scenari avanzati, gli attaccanti possono utilizzare il token di refresh raccolto per registrare un dispositivo aggiuntivo in Entra ID e richiedere un [Primary Refresh Token (PRT)]. Una volta ottenuto il PRT, l'attaccante può autenticarsi silenziosamente come vittima nelle applicazioni Microsoft 365 dell'organizzazione, bypassando le richieste di credenziali e MFA, e spostarsi lateralmente verso altri servizi e risorse.

Il kit EvilTokens PhaaS

Il kit EvilTokens per il phishing è venduto su Telegram e offre pagine di phishing decoy con istruzioni appropriate (ospitate sia dagli utenti che dall'amministratore del kit), automatizza tutte le interazioni con l'API Microsoft, invia email da mittenti apparentemente fidati e crea email di phishing convincenti utilizzando LLMs. I modelli di phishing inclusi nel kit coprono una vasta gamma di scenari, tra cui notifiche di quarantena della posta elettronica, inviti al calendario, richieste di accesso a SharePoint, avvisi di scadenza delle password, richieste di DocuSign e Adobe Acrobat Sign, notifiche per documenti condivisi su OneDrive e notifiche di eFax.

Crescita del fenomeno

Anche se il device code phishing non è una tecnica nuova, ha guadagnato popolarità negli ultimi anni. La maggior parte dei kit di phishing disponibili ancora si basano su tecniche di adversary-in-the-middle per targetare piattaforme come Microsoft 365 e Google Workspace. EvilTokens è l'unico kit a offrire built-in device code phishing insieme a strumenti per il takeover dell'account e attività post-compromissione.

Consigli per le organizzazioni

Le organizzazioni devono addestrare i dipendenti a essere cauti riguardo alle richieste inaspettate di login/codice e renderli consapevoli di cosa sia l'autorizzazione del dispositivo Microsoft e quali accessi concede. Inoltre, possono utilizzare politiche di accesso condizionale per bloccare l'autenticazione del dispositivo dove possibile o limitarla a utenti, dispositivi o posizioni approvati. È anche importante monitorare segni di accessi anomali da infrastrutture collegate a campagne note e revocare i token di refresh quando si sospetta una compromissione. Il crescente uso di kit come EvilTokens rappresenta una minaccia significativa per la sicurezza delle organizzazioni che utilizzano Microsoft 365. Le aziende devono adottare misure proattive per proteggersi da queste nuove tecniche di phishing, altrimenti rischiano di subire gravi compromissioni dei dati e delle risorse.

Consigli pratici per l'utente/investitore

La crescente attività di phishing tramite codici dispositivo, che prende di mira gli utenti di Microsoft 365, è stata attribuita alla disponibilità di EvilTokens, un nuovo e specializzato kit di phishing offerto come servizio su Telegram. Questo strumento consente agli attaccanti di sfruttare il flusso di autenticazione dei codici dispositivo per ottenere accessi e token di aggiornamento, bypassando le credenziali dell'utente e i requisiti di autenticazione a più fattori (MFA).

Il phishing tramite codice dispositivo è un tipo di attacco in cui gli aggressori ingannano gli utenti per farli accedere ai loro account utilizzando un flusso di autenticazione reale, quindi rubano i loro token di accesso e aggiornamento. Microsoft fornisce il workflow di autenticazione del codice dispositivo per aiutare gli utenti a "effettuare l'accesso a dispositivi con vincoli di input come una smart TV, un dispositivo IoT o una stampante".

L'uso legittimo di questo workflow coinvolge gli utenti che chiedono un breve codice di autenticazione, che inseriranno in una pagina di accesso speciale di Microsoft, e il loro dispositivo otterrà l'accesso. I phisher abusano di questo workflow avviando una richiesta di autorizzazione del dispositivo genuina, quindi inviano al destinatario il codice di accesso e il collegamento speciale forniti da Microsoft in risposta a quella richiesta.

Il successo di questo passaggio finale dipende dal fatto che forniscano una spiegazione convincente su perché l'utente dovrebbe seguire il collegamento (sia in forma "normale" o tramite codice QR). Se il bersaglio lo fa, verrà indirizzato alla pagina di autenticazione del codice dispositivo di Microsoft e, se inserisce il codice di accesso fornito dal phisher, completerà il flusso di autenticazione.

Questo permette all'attaccante di recuperare un token di accesso e aggiornamento valido richiedendolo al percorso /. Il phisher può quindi utilizzare quei token per stabilire un accesso continuo a lungo termine al conto compromesso senza dover conoscere le credenziali di accesso dell'utente o aggirare i requisiti di autenticazione a più fattori.

"In scenari post-compromissione più avanzati, l'aggressore può sfruttare il token di aggiornamento raccolto per registrare un dispositivo aggiuntivo in Entra ID, quindi utilizzare il token insieme all'identità del nuovo dispositivo per richiedere un [Primary Refresh Token]", hanno osservato i ricercatori di Sekoia.

"Una volta ottenuto un PRT, l'aggressore può autenticarsi silenziosamente come vittima alle applicazioni Microsoft 365 dell'organizzazione, bypassando le richieste di credenziali e MFA, e spostarsi lateralmente verso altri servizi e risorse oltre a quelli inizialmente targetizzati".

Il kit di phishing EvilTokens è venduto su Telegram e fornisce agli attaccanti a bassa abilità pagine di phishing con esche appropriate e istruzioni (ospitate da loro stessi o dall'amministratore di EvilTokens), automatizza tutte le interazioni con l'API di Microsoft, invia email da mittenti apparentemente attendibili, crea email di phishing convincenti (attraverso LLM) e altro ancora.

I modelli di phishing di EvilTokens includono avvisi di quarantena della posta elettronica, inviti al calendario, richieste di accesso a SharePoint, avvisi di scadenza delle password, richieste di DocuSign e Adobe Acrobat Sign, notifiche per documenti condivisi su OneDrive e notifiche di eFax.

"La piattaforma è anche progettata per aiutare gli operatori a prioritizzare cosa fare dopo che l'accesso è stato ottenuto. Funzionalità come Analisi AI e Scanner di parole chiave suggeriscono supporto per la revisione del contenuto della casella di posta compromessa, con probabile enfasi su materiale finanziario e altre conversazioni ad alto valore", hanno sottolineato i ricercatori di Mnemonic.

"Questo indica un servizio costruito non solo per l'accesso iniziale, ma per una triage post-compromissione più rapida e un targeting più efficiente una volta che i token sono stati catturati".

Le campagne di phishing documentate alimentate da EvilTokens sembrano mirare principalmente a dipendenti nel settore finanziario, risorse umane e trasporto/logistica.

Il phishing tramite codice dispositivo non è un nuovo tipo di attacco: è stato sfruttato da vari gruppi di minacce negli ultimi anni. Tuttavia, la maggior parte dei kit di phishing popolari ancora si basa su tecniche man-in-the-middle per mirare a piattaforme come Microsoft 365 e Google Workspace. Secondo Sekoia, EvilTokens è l'unico che offre il phishing tramite codice dispositivo integrato insieme a strumenti per la presa in consegna dell'account e l'attività post-compromissione.

Giudicando dall'aumento delle campagne di phishing tramite codice dispositivo, i phisher e gli scammers BEC hanno abbracciato questa tecnica. Oltre a formare i dipendenti a essere cauti nei confronti delle richieste inaspettate di accesso/codice e renderli consapevoli di cosa sia l'autorizzazione del dispositivo Microsoft e quale accesso conceda, le organizzazioni possono utilizzare le politiche di accesso condizionale per bloccare l'autenticazione tramite codice dispositivo dove possibile o limitare la capacità agli utenti, ai dispositivi o alle località approvati.

Devono anche cercare segni di accesso anomali da infrastrutture collegate a campagne note o kit e revocare i token di aggiornamento dove si sospetta una compromissione, hanno consigliato i ricercatori di Mnemonic.

Previsione futura netta basata sui fatti

L'aumento delle campagne di phishing basate sull'EvilTokens PhaaS (Phishing as a Service) rappresenta una minaccia crescente per gli utenti di Microsoft 365. Questo kit, offerto tramite Telegram, semplifica notevolmente il processo di phishing, rendendolo accessibile anche a criminali informatici con competenze limitate. La capacità di EvilTokens di automatizzare l'interazione con le API di Microsoft e di creare email di phishing convincenti utilizzando modelli linguistici (LLMs) fa sì che queste campagne siano sempre più sofisticate e difficili da rilevare. Le previsioni indicano che il numero di attacchi basati su EvilTokens continuerà a crescere, poiché i criminali informatici trovano questo strumento estremamente efficace per ottenere accesso continuativo agli account compromessi senza dover bypassare le misure di autenticazione a più fattori (MFA). La capacità del kit di suggerire azioni post-compromissione, come la ricerca di contenuti finanziari sensibili, rende EvilTokens non solo un mezzo per l'accesso iniziale, ma anche uno strumento per la triage e il targeting post-compromissione. Le organizzazioni devono essere pronte ad affrontare questa minaccia implementando politiche di accesso condizionale rigorose e monitorando attentamente le segnalazioni di accessi anomali. La formazione degli dipendenti sull'identificazione delle richieste di autenticazione sospette è fondamentale per mitigare il rischio. Inoltre, la revoca immediata dei token di aggiornamento in caso di sospetta compromissione è una pratica essenziale per proteggere gli account aziendali. In sintesi, mentre EvilTokens rappresenta un passo avanti significativo nel panorama del phishing, le organizzazioni possono adottare misure proattive per proteggersi da queste minacce emergenti. La consapevolezza e la preparazione saranno chiavi per contrastare efficacemente questa nuova ondata di attacchi.