Campagna di raccolta delle credenziali di accesso a OneDrive dell'università

Panoramica della campagna

Il team Mimecast Threat Research ha individuato un'operazione di raccolta di credenziali che prende di mira il personale e i docenti di università e istituti di scienze della salute in Australia e negli Stati Uniti. La campagna utilizza un modello di distribuzione basato su un servizio affidabile: i messaggi provengono da una notifica di condivisione file su OneDrive con il nome visualizzato "Jesse Lee", mentre il vero mittente SMTP è un singolo account Outlook personale (outlook_024EE0F96AD209F4@outlook.com).

Ogni ondata utilizza un documento esca specifico per l’istituzione, ospitato sullo stesso tenant personale di OneDrive controllato dall’autore dell’attacco (024ee0f96ad209f4). I documenti riportano il marchio dell’istituzione bersaglio e invitano i destinatari ad aprire un link presentato come un documento SharePoint protetto. Selezionando il link, le vittime vengono reindirizzate attraverso l’infrastruttura di reindirizzamento dell’autore dell’attacco prima di visualizzare una pagina di accesso Microsoft altamente realistica su un dominio non Microsoft.

Il volume rimane relativamente basso, in linea con un’operazione mirata o semi-mirata piuttosto che con uno spam di massa. Tuttavia, la campagna coinvolge più istituzioni, riutilizza un unico mittente e un unico account OneDrive e mostra segni evidenti di inserimento di metadati di liste nel testo delle notifiche.

Flusso della campagna

Fase 1: E-mail di notifica di condivisione su OneDrive

I destinatari ricevono un messaggio che corrisponde al modello standard di condivisione OneDrive di Microsoft. L’oggetto segue lo schema «Jesse Lee ha condiviso "" con te». Il corpo del messaggio fa riferimento a un documento Word che prende il nome dall’istituzione bersaglio.

Il corpo della notifica include una riga descrittiva secondaria (ad es. “MSPAS, PA-C, Direttore del programma, ti ha inviato un file”) che appare personalizzata in base al gruppo di appartenenza del destinatario.

 

                                                   [Figura 1: Notifica di condivisione su OneDrive]

Fase 2: Documento OneDrive con il marchio dell’istituzione

Cliccando sul link di condivisione si apre un documento Word su onedrive.live.com nell’account personale dell’autore dell’attacco. Il documento riproduce il logo dell’istituzione bersaglio e afferma che l’organizzazione ha condiviso un documento protetto tramite Microsoft SharePoint. Un collegamento ipertestuale ben visibile con la dicitura “APRI DOCUMENTO” incorpora la catena di reindirizzamenti finalizzata al furto delle credenziali.

  [Figura 2: Documento esca con il marchio dell’istituzione ospitato sull’account OneDrive dell’autore dell’attacco 024ee0f96ad209f4]

Fase 3: Reindirizzamento tramite zmact[.]us

Il link incorporato punta a zmact[.]us con parametri di query che includono tenantKey=WG0SL5 e un returnUrl contraffatto che fa riferimento a /connect/authorize/callback con client_id=Portal. Il reindirizzatore restituisce un codice di stato HTTP 302 all’host finale di phishing. 

Fase 4: Verifica Cloudflare su loq[.]broadpath[.]us

Le vittime vengono reindirizzate a loq.broadpath[.]us, che presenta una verifica gestita da Cloudflare (“Verifica di sicurezza in corso”). Questo livello filtra gli scanner automatici e le sandbox prima che venga visualizzata la pagina delle credenziali.

[Figura 3: Pagina di verifica di Cloudflare su loq.broadpath.us]

Fase 5: Accesso falso a Microsoft 365

Dopo aver superato la verifica, le vittime raggiungono una pagina di autorizzazione in stile OAuth di Microsoft ospitata su loq.broadpath[.]us al percorso /common/oauth2/v2.0/authorize. La pagina imita l’accesso a Entra ID con parametri coerenti con i kit di acquisizione di credenziali e token in stile AiTM.

 

                                [Figura 4: Pagina di raccolta delle credenziali su un dominio non Microsoft]

Volume e tempistiche

Mimecast ha osservato attività nell’arco di cinque giorni (dal 20 al 24 giugno 2026), con una concentrazione degli attacchi in tre giorni:

Tutte le ondate osservate provengono dallo stesso indirizzo mittente. Ogni istituzione è bersagliata da un documento esca specifico presente sull'account OneDrive condiviso, inviato in brevi raffiche (pochi minuti per ondata) anziché tramite spam a volume elevato e prolungato.

Metadati di notifica personalizzati

Sebbene le e-mail SMTP provengano da un unico account Outlook, il testo visibile delle notifiche di condivisione varia. Le righe descrittive secondarie (ad es. i titoli dei direttori di programma) sembrano personalizzate in base al gruppo di destinatari, in linea con i metadati delle directory estratti e inseriti nel modello di notifica di OneDrive.

Analisi tecnica

Riutilizzo dell’account OneDrive

Tutti i documenti esca condividono lo stesso identificatore personale OneDrive 024ee0f96ad209f4, che corrisponde alla stringa esadecimale incorporata nell’indirizzo del mittente.

Indicatori del kit di phishing

• Parametro di reindirizzamento tenantKey=WG0SL5 su zmact[.]us
• returnUrl in stile OAuth falsificato per assomigliare al callback del portale Entra ID (client_id=Portal, response_type=id_token, scope=openid)
• L'host finale serve /common/oauth2/v2.0/authorize sull'infrastruttura dell'autore dell'attacco
• Challenge gestito da Cloudflare sul reindirizzatore

Protezione Mimecast

Mimecast ha identificato attributi associati a questa campagna in relazione all’abuso di servizi affidabili, all’infrastruttura del reindirizzatore e al phishing tramite percorso OAuth su domini non Microsoft. Il team di ricerca sulle minacce continua a monitorare la presenza di nuovi documenti esca, istituzioni e rotazione dell’infrastruttura sui cluster zmact[.]us / broadpath[.]us.

Obiettivi:

Indicatori di compromissione (IOC)

 

Raccomandazioni

Formazione sulla consapevolezza degli utenti

• Istruire i dipendenti a considerare come non attendibili le notifiche di condivisione OneDrive non richieste fino a quando non sia stato verificato l’indirizzo effettivo del mittente
• Sottolineare che le condivisioni legittime di documenti universitari provengono da domini aziendali, non da account @outlook.com di utenti privati
• Istruire gli utenti a controllare la barra degli indirizzi del browser dopo aver cliccato sui link ai documenti; l’accesso a Microsoft deve avvenire su login.microsoftonline.com
• Allertare in via prioritaria il personale dell’istruzione superiore che opera nei settori del reclutamento, dei dottorati di ricerca (HDR), dell’amministrazione infermieristica, dell’atletica e delle scienze della salute

Ricerca proattiva delle minacce

• Cercare nei log di posta i messaggi provenienti da outlook_024EE0F96AD209F4@outlook[.]com o con oggetti corrispondenti a «Jesse Lee shared»
• Analizzare i log dei proxy web e DNS alla ricerca di zmact[.]us, broadpath[.]us e percorsi OAuth su host non Microsoft
• Esaminare i log di accesso di Entra ID alla ricerca di autenticazioni anomale che coinvolgano loq[.]broadpath[.]us o tentativi falliti di GetCredentialType provenienti da IP esterni al campus

Conclusione

Questa campagna illustra come gli operatori specializzati nella raccolta di credenziali combinino servizi affidabili di condivisione file su cloud, esche con il marchio dell’istituzione e elenchi di obiettivi specifici per programma per compromettere le caselle di posta universitarie in modo mirato. I team di sicurezza dell’istruzione superiore dovrebbero considerare le notifiche di condivisione su cloud consumer come un vettore ad alto rischio e dare priorità al rilevamento sia nella fase e-mail che in quella di reindirizzamento post-clic.