N0va Phishkit Ruba le Credenziali Aziendali Attraverso Flussi Legittimi
Un phishing kit chiamato N0va viene utilizzato in campagne in Nord America ed Europa per impersonare piattaforme aziendali ampiamente utilizzate e rubare l'accesso agli account attraverso flussi di autenticazione legittimi, secondo un'analisi pubblicata dal fornitore di sicurezza ANY.RUN. Un phishing kit è un pacchetto preconfezionato di pagine web e script che i criminali usano per creare schermate di login false convincenti e catturare le informazioni che le vittime vi inseriscono.
ANY.RUN riferisce che l'attività di N0va è stata osservata in organizzazioni nei settori governativo, tecnologico, della consulenza, sanitario e altri. Gli attacchi utilizzano esche che imitano servizi aziendali affidabili tra cui Microsoft Teams, SharePoint, OneDrive, DocuSign, Google Drive, Dropbox, Zoom e Adobe Sign. Invece di affidarsi solo a una tradizionale pagina di login falsa che raccoglie semplicemente nomi utente e password, la campagna può guidare le vittime attraverso flussi di autenticazione reali sulle piattaforme legittime. Ciò rende l'interazione più credibile e aiuta l'attaccante a bypassare le difese che cercano solo malware evidente.
La catena di attacco descritta da ANY.RUN inizia con un'esca di un marchio affidabile e passa attraverso il device code phishing fino all'autenticazione legittima. Il device code phishing è una tecnica che abusa di un'opzione di accesso progettata per dispositivi che non possono mostrare un browser web completo; la vittima viene persuasa ad approvare una richiesta o inserire un codice, il che fornisce all'attaccante un token valido per l'account della vittima. Dopo che l'utente completa l'autenticazione, N0va può catturare token di accesso e token di aggiornamento. Un token di accesso è una prova di breve durata che un utente ha già effettuato l'accesso, e un token di aggiornamento consente all'attaccante di ottenere nuovi token di accesso senza chiedere di nuovo la password. La campagna può quindi abusare di meccanismi di scambio di token o registrazione di dispositivi per stabilire l'accesso single sign-on (SSO). SSO significa che un login approvato concede l'accesso a molti servizi connessi, quindi una singola identità rubata può aprire email, file, applicazioni cloud e altre risorse aziendali.
L'impatto di una compromissione N0va dipende dai permessi dell'account che viene preso il controllo, ma ANY.RUN avverte che le conseguenze possono estendersi ben oltre il messaggio di phishing iniziale. Gli attaccanti possono utilizzare account compromessi per frodi sui pagamenti, manipolazione di fatture o altre attività a scopo di lucro. L'accesso alle applicazioni aziendali può esporre registrazioni dei clienti, informazioni sui dipendenti, proprietà intellettuale e comunicazioni riservate. Il contenimento può costringere i team di sicurezza a revocare sessioni attive, reimpostare l'accesso, indagare sui sistemi colpiti e limitare i servizi mentre l'incidente viene risolto. L'esposizione di dati regolamentati può attivare obblighi di segnalazione, indagini, problemi contrattuali o sanzioni, e una violazione che coinvolge account aziendali affidabili può indebolire la fiducia dei clienti e mettere a dura prova i rapporti con partner e clienti.
L'analisi di ANY.RUN include diversi modi per i team di sicurezza di indagare e rispondere a N0va. Il suo Threat Intelligence Lookup consente agli analisti di cercare un pattern URL caratteristico utilizzato dalla campagna: /api/verification/init?session=*&flow=*prompt_profile=". La query fa emergere URL corrispondenti e attività correlate che condividono la stessa struttura di richiesta, aiutando gli analisti a vedere come la campagna appare attraverso diverse submission e infrastrutture invece di trattare ogni indicatore come un evento isolato. In un caso recente con un'esca a tema Microsoft, la sandbox interattiva di ANY.RUN ha prodotto il primo verdetto malevolo in 24 secondi e ha esposto l'intera catena di attacco nella stessa sessione. L'azienda afferma che la sua threat intelligence è costruita da attività osservate in oltre 16.000 organizzazioni e 700.000 professionisti della sicurezza. Una volta confermata l'attività di N0va, i feed di threat intelligence di ANY.RUN possono fornire indicatori di compromissione a SIEM, SOAR, EDR, firewall e altri strumenti di sicurezza già utilizzati in un ambiente. ANY.RUN riferisce che le organizzazioni che utilizzano la sua piattaforma hanno ridotto il tempo di indagine di Tier 1 del 20 percento, ridotto le escalation da Tier 1 a Tier 2 del 30 percento e accorciato il tempo medio di risposta (MTTR) di 21 minuti per caso.
Per i proprietari di siti web e le aziende, N0va è un promemoria che la sicurezza degli account e la sicurezza dell'infrastruttura sono strettamente collegate. Un'identità Microsoft o Google compromessa può essere utilizzata per raggiungere gli stessi pannelli di controllo, archivi di file e servizi cloud che gestiscono il sito web e i dati dei clienti di un'azienda. AEU-I, il servizio IT e di consulenza security-first di AEU Group, aiuta le organizzazioni ad applicare controlli di identità e accesso coerenti su tutta la loro infrastruttura, il che può ridurre il raggio d'azione di questo tipo di takeover di account guidato dal phishing.