Toolkit AiTM esposto, la soglia per bypassare MFA crolla
Un server lasciato in chiaro non ha solo esposto tre operatori: ha mostrato un kit completo, pronto da riusare, per campagne di phishing AiTM contro Microsoft 365. Il punto non è la singola pagina fasulla; è che sessioni, credenziali e artefatti di persistenza erano già raccolti e ordinati, quindi un ecosistema nato per rubare accessi diventa anche una base di tradecraft copiabile.
Lexfo ha trovato su una VPS a Budapest directory listing attivo, configurazioni di phishing, log di credenziali, installer RMM e file di sessione dell’operatore. Le tracce collegano codemado a un’operazione Evilginx contro account Microsoft 365, a mail-argenta tramite credenziali riusate in infostealer log e a saroula01, che ha usato un flusso OAuth Device Code; in quel caso i token venivano rinnovati in background e alcuni accessi sono rimasti vivi fino a 25 rinnovi.
Per chi difende Microsoft 365, il rischio non è un phishing isolato ma una cassetta degli attrezzi già pronta, che abbassa la barriera tecnica e rende più probabile l’uso di token rubati e persistenza post-phish. Un reset password, da solo, può non bastare a chiudere l’accesso.