- Gli autori delle minacce sfruttano i servizi di condivisione file di SharePoint per il furto di credenziali
- Catena di attacchi in più fasi che utilizza account compromessi e sofisticate tecniche di elusione
- Le campagne richiedono l'interazione tramite Ctrl+clic per eludere le analisi di sicurezza automatizzate
- Verifica CAPTCHA fasulla di Cloudflare che precede il furto delle credenziali di Microsoft 365
- Payload finale ospitato sull'infrastruttura di workers.dev
Threat intelligence
Abuso della funzione di condivisione file di SharePoint con elusione del CAPTCHA
Punti principali
Panoramica della campagna
Il team Mimecast Threat Research ha individuato una campagna attiva di raccolta di credenziali che sfrutta la funzionalità di condivisione dei file di Microsoft SharePoint per sferrare attacchi di phishing. L'attacco ha inizio con e-mail provenienti da account Microsoft 365 compromessi, il che conferisce immediata credibilità ai messaggi malevoli. I destinatari ricevono quelle che sembrano essere notifiche legittime relative alla condivisione di documenti su SharePoint, spesso provenienti da contatti noti all’interno della propria organizzazione o della propria rete aziendale. Questo approccio di ingegneria sociale aumenta in modo significativo la probabilità di coinvolgimento degli utenti.
Ciò che contraddistingue questa campagna è l’utilizzo di una tecnica di elusione innovativa che richiede agli utenti di tenere premuto il tasto Ctrl mentre fanno clic sul pulsante “ "” (Visualizza documento)". Questa istruzione, apparentemente innocua, impedisce agli strumenti di sicurezza automatizzati di seguire la catena di attacco. Il requisito è riportato all'indirizzo ". PER ACCEDERVI, SI PREGA DI TENERE PREMUTO IL TASTO CTRL SULLA TASTIERA E DI FARE CLIC SU "VISUALIZZA DOCUMENTO",", imitando le comuni funzionalità di sicurezza dei browser. A seguito della prima interazione con SharePoint, gli utenti vengono reindirizzati attraverso una sequenza di attacchi accuratamente pianificata. La fase successiva presenta una pagina di verifica CAPTCHA di Cloudflare contraffatta che mostra ". Ancora un passo prima di procedere..." con la casella di controllo " "" (Verifica di essere un essere umano)".
Questa tecnica rispecchia le sofisticate tecniche di phishing basate sui CAPTCHA documentate in precedenti ricerche sulle minacce, in cui gli autori degli attacchi sfruttano la familiarità degli utenti con i processi di verifica legittimi per mantenere la propria credibilità. La fase finale reindirizza gli utenti verso una pagina di raccolta delle credenziali di Microsoft 365 particolarmente convincente, ospitata sull’infrastruttura di Cloudflare Workers tramite il dominio workers.dev.
