CiberseguridadEl ataque de phishing de Office 365 aprovecha la validación de Active Directory en tiempo real
Los atacantes verifican las credenciales de Office 365 de las víctimas en tiempo real a medida que se ingresan en la página de inicio de phishing, mediante API de autenticación.
Los investigadores han descubierto un ataque de phishing mediante una nueva técnica: los atacantes están utilizando API de autenticación para validar las credenciales de Office 365 de las víctimas, en tiempo real, a medida que las ingresan en la página de destino.
Las API de autenticación son utilizadas por aplicaciones y servicios que se ejecutan en nombre de los usuarios para acceder a sus datos, dijo a Threatpost Prashanth Arun, jefe de ciencia de datos de Armorblox. Office 365 requiere que los registros de aplicaciones usen API, pero los registros solo requieren una dirección de correo electrónico, lo que los hace perfectos para que los atacantes los aprovechen. Algunas configuraciones adicionales para la aplicación también requieren que los usuarios especifiquen un sitio web para "recibir" información de autenticación, agregó Arun.
En un ataque de phishing detectado recientemente por los investigadores, el atacante utilizó las API de autenticación para verificar las credenciales de un ejecutivo senior de una gran empresa con el directorio activo de Azure de la organización. Active Directory (AD) es el servicio de directorio de propiedad de Microsoft, que permite a los administradores administrar los permisos y el acceso a los recursos de la red. Las API de autenticación usan Azure AD para proporcionar servicios de autenticación.
En el ataque de phishing, el acceso a esta retroalimentación inmediata "permite al atacante responder de manera inteligente durante el ataque", dijeron el jueves investigadores de Armorblox. "El atacante también es consciente de inmediato de una credencial activa comprometida y le permite potencialmente congraciarse con la cuenta comprometida antes de cualquier corrección".
El correo electrónico de phishing
El ataque se descubrió por primera vez dirigido a un ejecutivo senior de una empresa anónima, que según los investigadores es una marca estadounidense nombrada entre las 50 empresas más innovadoras del mundo en 2019. El correo electrónico inicial enviado al empleado tenía el asunto "Informe de débito ACH”, imitando un informe interno, y fue enviado el viernes por la noche, cuando las víctimas probablemente bajaron la guardia, dijeron los investigadores.
Según los investigadores, la empresa objetivo había cambiado de dominio recientemente, por lo que la dirección de correo electrónico pública del objetivo es diferente del nombre de dominio utilizado en su inicio de sesión de Active Directory. Los atacantes estaban al tanto de este cambio, lo que llevó a los investigadores a creer que la campaña estaba muy dirigida.
"La actividad limitada en el sitio web que aloja el ataque de phishing y la sincronización cuidadosa del correo electrónico hasta el viernes por la noche también sugiere que este es un ataque cuidadosamente elaborado", dijeron los investigadores. “Nuestras estimaciones muestran que ha habido 120 visitas extrañas a este sitio web que vienen de todo el mundo desde principios de junio. El escaso número muestra que las estafas de phishing probablemente estaban dirigidas a un objetivo y no fue algo como rocíen y recen".
El correo electrónico de suplantación de identidad les decía a las víctimas: "Busque el Informe de pago adjunto" a partir del 11/7/2020 2:53:14 a.m. ¡Gracias por su negocio! ”Y señala un archivo adjunto, que parece un archivo de texto.
“Abrir el archivo adjunto de Office 365 en un navegador muestra un sitio web idéntico a la página de inicio de sesión de Office 365. El nombre de usuario se ha introducido previamente. Aparece un mensaje inusual "Debido a que está accediendo a información confidencial, debe verificar su contraseña", dijeron los investigadores.
Verificación cruzada de credenciales
Una vez que las víctimas ingresaron sus credenciales en la página de inicio de phishing, los registros de inicio de sesión de Azure Active Directory muestran un intento de inicio de sesión inmediato correspondiente a las solicitudes XHR realizadas en la página web adjunta.
"No hay ninguna vulnerabilidad especial que lo haga posible, es una adopción única de API por parte de los adversarios", enfatizó Arun en un correo electrónico a Threatpost.
Si la autenticación se realiza correctamente, se redirige al usuario a zoom.com. Sin embargo, si la autenticación falla, se redirige al usuario a login.microsoftonline.com. Esta podría ser una forma de ocultar el ataque de phishing como otro intento fallido de inicio de sesión en el portal de Office 365, dijeron los investigadores. Si el texto de la contraseña ingresada está vacío o es demasiado corto, el usuario se ve obligado a volver a intentarlo.
“Nuestros investigadores de amenazas verificaron la naturaleza en tiempo real del sitio actualizando el script con un inicio de sesión de prueba y una contraseña ficticia y vieron un intento fallido de inicio de sesión de Provo, Utah en el portal de inicio de sesión de Azure Active Directory”, dijeron los investigadores. "Como se esperaba, la dirección IP (162.241.120.106) que intentó iniciar sesión es el mismo punto final al que el script de phishing envía las credenciales".
Tras una mayor investigación, los investigadores encontraron que el servicio web detrás de la página de phishing de credenciales está alojado en teenagemoglen [.] Com, que está registrado en Alibaba.com con un registrador de dominios de Singapur desde finales de mayo de 2020.
"El sitio web está alojado por UnifiedLayer, una empresa de alojamiento con sede en la India, en un centro de datos en Provo, Utah, Estados Unidos", dijeron. “El sitio web parece alojar páginas web copiadas de otro sitio web. Ninguno de los enlaces que permiten la interacción activa con un visitante parece estar activo ".
Etiquetado en: Phishing Office 365
Septiembre 14, 2020 09:50 AM
Fuente: threatpost.com - Lindsey O'Donnell
Publicado por: Cecilia Coria
Alertas
Alerta en Linux por fallo Pack2TheRoot que permite escalda de privilegios
Una red de ordenadores bots lanza un ciberataque para robar cuentas de Microsoft 365
Vulnerabilidad en PostgreSQL explotada en ataques dirigidos
Nuevas vulnerabilidades de OpenSSH permiten ataques MitM y DoS