Da vishing a estorsione: i token rubati aprono SharePoint
Arctic Wolf ha collegato a PREY-0058 una campagna che, al sesto giorno di osservazione, è passata dalla ricognizione al furto di dati e all’estorsione contro dirigenti e altri executive. Il cluster, che condivide tattiche con UNC6671 e con Cinder/Pink, colpisce account Microsoft 365 e altri SaaS senza passare da malware su endpoint.
Il meccanismo è sociale e poi tecnico. Una chiamata da finto help desk porta il bersaglio su una pagina di login Microsoft controllata dall’attaccante; lì vengono catturate credenziali e approvazioni MFA fino a ottenere un session token. Con quel token, il replay da infrastruttura proxy fa apparire l’accesso come legittimo e consente di leggere SharePoint, Entra ID e altri servizi, esfiltrare dati e poi passare all’estorsione.
Per i team identity e per l’assistenza interna il punto è la catena di fiducia, non la workstation. Se un flusso di supporto o di approvazione MFA può consegnare una sessione valida, la difesa endpoint-centric resta fuori dal problema e l’attaccante può muoversi come l’utente senza lasciare molto rumore locale.
Attackers use passkey-themed scams to hijack Microsoft 365 accounts
Microsoft says threat actors posing as IT helpdesk staff are tricking employees into phishing and device-code attacks that lead to persistent cloud access.