N0va Phishkit Ruba le Credenziali Aziendali Attraverso Flussi Legittimi
Le campagne di phishing N0va si spacciano per Microsoft Teams, SharePoint e altri strumenti aziendali, abusano dell'autenticazione legittima per rubare token di accesso e consentire l'accesso SSO.
Un phishing kit chiamato N0va viene utilizzato in campagne in Nord America ed Europa per impersonare piattaforme aziendali ampiamente utilizzate e rubare l'accesso agli account attraverso flussi di autenticazione legittimi, secondo un'analisi pubblicata dal fornitore di sicurezza ANY.RUN. Un phishing kit è un pacchetto preconfezionato di pagine web e script che i criminali usano per creare schermate di login false convincenti e catturare le informazioni che le vittime vi inseriscono.
ANY.RUN riferisce che l'attività di N0va è stata osservata in organizzazioni nei settori governativo, tecnologico, della consulenza, sanitario e altri. Gli attacchi utilizzano esche che imitano servizi aziendali affidabili tra cui Microsoft Teams, SharePoint, OneDrive, DocuSign, Google Drive, Dropbox, Zoom e Adobe Sign. Invece di affidarsi solo a una tradizionale pagina di login falsa che raccoglie semplicemente nomi utente e password, la campagna può guidare le vittime attraverso flussi di autenticazione reali sulle piattaforme legittime. Ciò rende l'interazione più credibile e aiuta l'attaccante a bypassare le difese che cercano solo malware evidente.
La catena di attacco descritta da ANY.RUN inizia con un'esca di un marchio affidabile e passa attraverso il device code phishing fino all'autenticazione legittima. Il device code phishing è una tecnica che abusa di un'opzione di accesso progettata per dispositivi che non possono mostrare un browser web completo; la vittima viene persuasa ad approvare una richiesta o inserire un codice, il che fornisce all'attaccante un token valido per l'account della vittima. Dopo che l'utente completa l'autenticazione, N0va può catturare token di accesso e token di aggiornamento. Un token di accesso è una prova di breve durata che un utente ha già effettuato l'accesso, e un token di aggiornamento consente all'attaccante di ottenere nuovi token di accesso senza chiedere di nuovo la password. La campagna può quindi abusare di meccanismi di scambio di token o registrazione di dispositivi per stabilire l'accesso single sign-on (SSO). SSO significa che un login approvato concede l'accesso a molti servizi connessi, quindi una singola identità rubata può aprire email, file, applicazioni cloud e altre risorse aziendali.
L'impatto di una compromissione N0va dipende dai permessi dell'account che viene preso il controllo, ma ANY.RUN avverte che le conseguenze possono estendersi ben oltre il messaggio di phishing iniziale. Gli attaccanti possono utilizzare account compromessi per frodi sui pagamenti, manipolazione di fatture o altre attività a scopo di lucro. L'accesso alle applicazioni aziendali può esporre registrazioni dei clienti, informazioni sui dipendenti, proprietà intellettuale e comunicazioni riservate. Il contenimento può costringere i team di sicurezza a revocare sessioni attive, reimpostare l'accesso, indagare sui sistemi colpiti e limitare i servizi mentre l'incidente viene risolto. L'esposizione di dati regolamentati può attivare obblighi di segnalazione, indagini, problemi contrattuali o sanzioni, e una violazione che coinvolge account aziendali affidabili può indebolire la fiducia dei clienti e mettere a dura prova i rapporti con partner e clienti.
L'analisi di ANY.RUN include diversi modi per i team di sicurezza di indagare e rispondere a N0va. Il suo Threat Intelligence Lookup consente agli analisti di cercare un pattern URL caratteristico utilizzato dalla campagna: /api/verification/init?session=*&flow=*prompt_profile=". La query fa emergere URL corrispondenti e attività correlate che condividono la stessa struttura di richiesta, aiutando gli analisti a vedere come la campagna appare attraverso diverse submission e infrastrutture invece di trattare ogni indicatore come un evento isolato. In un caso recente con un'esca a tema Microsoft, la sandbox interattiva di ANY.RUN ha prodotto il primo verdetto malevolo in 24 secondi e ha esposto l'intera catena di attacco nella stessa sessione. L'azienda afferma che la sua threat intelligence è costruita da attività osservate in oltre 16.000 organizzazioni e 700.000 professionisti della sicurezza. Una volta confermata l'attività di N0va, i feed di threat intelligence di ANY.RUN possono fornire indicatori di compromissione a SIEM, SOAR, EDR, firewall e altri strumenti di sicurezza già utilizzati in un ambiente. ANY.RUN riferisce che le organizzazioni che utilizzano la sua piattaforma hanno ridotto il tempo di indagine di Tier 1 del 20 percento, ridotto le escalation da Tier 1 a Tier 2 del 30 percento e accorciato il tempo medio di risposta (MTTR) di 21 minuti per caso.
Per i proprietari di siti web e le aziende, N0va è un promemoria che la sicurezza degli account e la sicurezza dell'infrastruttura sono strettamente collegate. Un'identità Microsoft o Google compromessa può essere utilizzata per raggiungere gli stessi pannelli di controllo, archivi di file e servizi cloud che gestiscono il sito web e i dati dei clienti di un'azienda. AEU-I, il servizio IT e di consulenza security-first di AEU Group, aiuta le organizzazioni ad applicare controlli di identità e accesso coerenti su tutta la loro infrastruttura, il che può ridurre il raggio d'azione di questo tipo di takeover di account guidato dal phishing.
Come Proteggerti
- Se ricevi un'email o un messaggio inaspettato che ti chiede di accedere a Microsoft Teams, SharePoint o un servizio simile, non cliccare sul link; apri il servizio digitando tu stesso l'indirizzo.
- Se ti viene chiesto di inserire un codice mostrato su un altro dispositivo o di approvare un accesso che non hai avviato, fermati e contatta il tuo team IT prima di fare qualsiasi cosa.
- Attiva l'autenticazione a più fattori per i tuoi account aziendali e preferisci metodi di autenticazione che resistono al phishing, dove il tuo servizio li offre.
- Controlla regolarmente le sessioni attive o i dispositivi connessi nei tuoi account Microsoft, Google e altri account aziendali e disconnetti tutto ciò che non riconosci.
- Segnala immediatamente al tuo team IT o di sicurezza eventuali richieste di accesso sospette o attività impreviste sull'account, anche se pensi di aver già chiuso la pagina.
I Termini Spiegati
- phishing kit Un insieme preconfezionato di pagine web e script che i criminali usano per creare schermate di login false e raccogliere i dati degli account.
- access token Una prova digitale di breve durata che un utente ha già effettuato l'accesso, consentendo a un dispositivo di rimanere connesso senza reinserire la password.
- refresh token Una credenziale di durata più lunga che consente a un attaccante di ottenere nuovi token di accesso senza conoscere la password della vittima.
- single sign-on (SSO) Un metodo che consente a un unico accesso approvato di aprire contemporaneamente diversi servizi collegati.
- device code phishing Un trucco che abusa di un'opzione di accesso per dispositivi senza un browser completo, inducendo la vittima ad approvare una richiesta che fornisce all'attaccante un token valido.
- indicators of compromise Segnali come indirizzi web malevoli, hash di file o pattern di rete che aiutano i team di sicurezza a rilevare un attacco.
- SIEM Un sistema che raccoglie e analizza gli avvisi di sicurezza da molte parti della rete di un'azienda.
- SOAR Una piattaforma che automatizza le attività di sicurezza di routine e aiuta a coordinare le risposte agli incidenti.
- EDR Software che monitora computer e server per comportamenti sospetti e aiuta a fermare le minacce.