Microsoft Memperingatkan Serangan Phishing AiTM Skala Besar Terhadap Lebih dari 10.000 Organisasi

AiTM Phishing Attacks

Microsoft pada hari Selasa mengungkapkan bahwa kampanye phishing skala besar menargetkan lebih dari 10.000 organisasi sejak September 2021 dengan membajak proses otentikasi Office 365 bahkan pada akun yang diamankan dengan otentikasi multi-faktor (MFA).

“Para penyerang kemudian menggunakan kredensial yang dicuri dan cookie sesi untuk mengakses kotak surat pengguna yang terpengaruh dan melakukan kampanye kompromi email bisnis (BEC) lanjutan terhadap target lain,” tim keamanan siber perusahaan melaporkan.

Penyusupan memerlukan pengaturan situs phishing adversary-in-the-middle (AitM), di mana musuh menyebarkan server proxy antara calon korban dan situs web yang ditargetkan sehingga penerima email phishing diarahkan ke halaman arahan serupa yang dirancang untuk menangkap kredensial dan informasi MFA.

“Halaman phishing memiliki dua sesi Transport Layer Security (TLS) yang berbeda – satu dengan target dan satu lagi dengan situs web sebenarnya yang ingin diakses target,” perusahaan menjelaskan.

“Sesi ini berarti bahwa halaman phishing secara praktis berfungsi sebagai agen AitM, mencegat seluruh proses otentikasi dan mengekstraksi data berharga dari permintaan HTTP seperti kata sandi dan, yang lebih penting, cookie sesi.”

Berbekal informasi ini, penyerang menyuntikkan cookie ke dalam browser mereka sendiri untuk menghindari proses otentikasi, bahkan dalam skenario di mana korban telah mengaktifkan perlindungan MFA.

Kampanye phishing yang ditemukan oleh Microsoft dirancang untuk memilih pengguna Office 365 dengan memalsukan halaman otentikasi online Office, dengan para pelaku menggunakan kit phishing Evilginx2 untuk melakukan serangan AitM.

Serangan Phishing AiTM

Ini melibatkan pengiriman pesan email yang berisi umpan bertema pesan suara yang ditandai dengan sangat penting, menipu penerima untuk membuka lampiran HTML yang mengandung malware yang diarahkan ke halaman arahan pencuri kredensial.

Related Post :   Peneliti Peringatkan Layanan Malware "Proyek Keabadian" Dijual melalui Telegram

Untuk menyelesaikan tipu muslihat, para pengguna akhirnya diarahkan ke kantor yang sah[.]com pasca-otentikasi, tetapi tidak sebelum penyerang memanfaatkan pendekatan AitM yang disebutkan di atas untuk menyedot cookie sesi dan mendapatkan kontrol atas akun yang disusupi.

Serangan tidak berakhir di sana, karena pelaku ancaman menyalahgunakan akses kotak surat mereka untuk melakukan penipuan pembayaran dengan menggunakan teknik yang disebut pembajakan utas email untuk menipu pihak di ujung lain percakapan untuk mentransfer dana secara tidak sah ke rekening di bawah kendali mereka.

Untuk lebih menutupi komunikasi mereka dengan target penipuan, pelaku ancaman juga membuat aturan kotak surat yang secara otomatis memindahkan setiap email masuk yang berisi nama domain yang relevan ke folder “Arsip” dan menandainya sebagai “sudah dibaca”.

Keamanan cyber

“Hanya butuh waktu lima menit setelah pencurian kredensial dan sesi bagi penyerang untuk meluncurkan penipuan pembayaran lanjutan mereka,” kata Microsoft.

Penyerang dikatakan telah menggunakan Outlook Web Access (OWA) di browser Chrome untuk melakukan aktivitas penipuan, sementara juga menghapus dari folder Kotak Masuk akun email phishing asli serta komunikasi lanjutan dengan target dari kedua Arsip. dan folder Item Terkirim untuk menghapus jejak.

“Kampanye phishing AiTM ini adalah contoh lain tentang bagaimana ancaman terus berkembang sebagai respons terhadap langkah-langkah keamanan dan kebijakan yang diterapkan organisasi untuk mempertahankan diri dari potensi serangan,” kata para peneliti.

Related Post :   Varian Baru Chaos Ransomware Builder "Yashma" Ditemukan di Alam Liar

“Sementara phishing AiTM mencoba untuk menghindari MFA, penting untuk digarisbawahi bahwa implementasi MFA tetap menjadi pilar penting dalam keamanan identitas. MFA masih sangat efektif untuk menghentikan berbagai macam ancaman; keefektifannya adalah alasan mengapa phishing AiTM muncul pertama kali.”

Temuan ini muncul saat sekelompok peneliti dari Stony Brook University dan Palo Alto Networks menunjukkan akhir tahun lalu teknik sidik jari baru yang memungkinkan untuk mengidentifikasi kit phishing AitM di alam liar menggunakan alat yang disebut PHOCA.

“Serangan seperti ini menjadi lebih umum karena organisasi dan individu mengaktifkan otentikasi multi-faktor (MFA) pada akun untuk mengamankannya dengan lebih baik,” Erich Kron, advokat kesadaran keamanan di KnowBe4, mengatakan dalam sebuah pernyataan.

“Untuk melindungi dari email phishing yang mengelabui korban agar mengklik tautan, organisasi harus melatih karyawan cara mengidentifikasi dan melaporkan phishing dan harus mengujinya secara teratur dengan serangan phishing simulasi yang memungkinkan mereka mempraktikkan keterampilan ini. Selain itu, mendidik pengguna tentang cara mengidentifikasi halaman login palsu akan sangat mengurangi risiko menyerahkan kredensial dan cookie sesi.”


Tinggalkan Balasan

Alamat email Anda tidak akan dipublikasikan.