Minacce · 47 giorni fa
Arctic Wolf ha collegato a PREY-0058 una campagna che, al sesto giorno di osservazione, è passata dalla ricognizione al furto di dati e all’estorsione contro dirigenti e altri executive. Il cluster, che condivide tattiche con UNC6671 e con Cinder/Pink, colpisce account Microsoft 365 e altri SaaS senza passare da malware su endpoint.
Il meccanismo è sociale e poi tecnico. Una chiamata da finto help desk porta il bersaglio su una pagina di login Microsoft controllata dall’attaccante; lì vengono catturate credenziali e approvazioni MFA fino a ottenere un session token. Con quel token, il replay da infrastruttura proxy fa apparire l’accesso come legittimo e consente di leggere SharePoint, Entra ID e altri servizi, esfiltrare dati e poi passare all’estorsione.
Per i team identity e per l’assistenza interna il punto è la catena di fiducia, non la workstation. Se un flusso di supporto o di approvazione MFA può consegnare una sessione valida, la difesa endpoint-centric resta fuori dal problema e l’attaccante può muoversi come l’utente senza lasciare molto rumore locale.
7 fonti che coprono questa storia
Hackers Favor US Eastern Business Hours in M365 Phishing Campaign
KnowBe4 researchers observed a new phishing campaign leveraging Microsoft 365’s Direct Send to send malicious emails
Attackers use passkey-themed scams to hijack Microsoft 365 accounts
Microsoft says threat actors posing as IT helpdesk staff are tricking employees into phishing and device-code attacks that lead to persistent cloud access.
IT help-desk vishing tricks executives into handing over Microsoft 365 access - Help Net Security
Attackers pose as IT support in vishing calls, steal Microsoft 365 sessions, and sign in via residential proxies to steal and extort data.
Fake IT Calls Target Executives in Microsoft 365 Data Theft and Extortion Attacks
PREY-0058 uses help desk vishing and AitM token theft to steal data from Microsoft 365 and other SaaS services for extortion.
Learn how attackers move from social engineering to lateral movement using legitimate tools, and how Microsoft Defender helps detect and disrupt the activity.
Threat Gang 'Springs' Vishing Attacks on Microsoft Teams Users
The "Spring Ring" operation targets users of the collaboration suite to remotely access their sessions, spread malware, and take over infrastructure.
Attackers posed as IT help desk staff on Microsoft Teams, then used vishing calls to trick employees into installing malware.
Spring Ring: An Inside Look at Voice Phishing Campaigns in Microsoft Teams
Learn how the Spring Ring campaign abuses Microsoft Teams and voice phishing to deploy malware and target enterprise domain controllers.
Riepilogo fornitore: Microsoft
Part of the PlainSec briefing for 2026-09-14