Malware · 47 giorni fa
NovaCookies porta il furto di sessioni Microsoft 365 fuori dal perimetro del team specialista e lo vende come servizio: $320 al mese, oppure $200 per 14 giorni, con infrastruttura ospitata, domini usa e getta e supporto via Telegram. Island ha osservato campagne che hanno preso di mira centinaia di organizzazioni in più paesi, usando anche finte notifiche DocuSign per dare credibilità al primo clic.
Il meccanismo è un relay AitM. L’utente vede un login normale e completa password e MFA; in parallelo, la pagina falsa fa da ponte verso Microsoft 365 e trattiene la sessione autenticata. Il risultato è che l’attaccante non ha bisogno di riusare la password o il codice una seconda volta: entra come l’utente con la sessione già aperta, e i controlli che guardano solo a tentativi falliti possono non vedere nulla di anomalo.
Per chi usa Microsoft 365 e l’email o i documenti condivisi come esca, il punto non è più solo bloccare il phishing classico. Qui il rischio è il session theft già pronto all’uso, con infrastruttura gestita centralmente e rotazione continua dei domini, quindi un abbassamento netto della barriera d’ingresso per campagne di massa.
2 fonti che coprono questa storia
NovaCookies Campaigns Abuse Genuine Docusign Notifications to Steal Microsoft 365 Sessions
NovaCookies proxies Microsoft 365 sign-ins through attacker infrastructure to steal sessions using Docusign lures and OAuth redirects.
'NovaCookies' Kit Steals Microsoft 365 Sessions for $320 a Month
The AitM service lowers the barrier to entry for actors to create phishing attacks that steal more than just user credentials.
Riepilogo fornitore: Microsoft
Part of the PlainSec briefing for 2026-08-27