Kampanja CSuite krade Microsoft 365 sesije i instalira alate za daljinski pristup

Istraživači kompanije ANY.RUN pratili su phishing kampanju pod nazivom CSuite kroz 351 analizu u sandbox okruženju. Polovina prijava, 51 odsto, stigla je iz Sjedinjenih Država, a sledi Indija sa 18 odsto. Najizloženiji su sektori tehnologije, proizvodnje, državne uprave i konsaltinga.

Kampanja počinje lažnim poslovnim porukama koje se predstavljaju kao Adobe, DocuSign, Zoom, Google Meet, Dropbox ili Microsoft 365. Napad se zatim razvija u dva pravca. U prvom se isporučuju instalacioni programi ili skripte koje instaliraju legitimne alate za daljinski pristup (RMM), kao što su ScreenConnect i Action1, čime napadači dobijaju kontrolu nad računarom. U drugom se žrtve preusmeravaju na stranice za krađu kredencijala ili na takozvani device-code phishing, koji krade pristup Microsoft 365 nalogu i aktivne sesije.

Posledice mogu biti šire od običnog phishing incidenta. Napadačima omogućava preuzimanje poštanskog sandučeta, manipulaciju fakturama, preusmeravanje plaćanja i trajan daljinski pristup uređajima. Preuzeti nalozi mogu se koristiti za dalje širenje unutar firme, prema kolegama, partnerima i klijentima.

Istraživači savetuju da bezbednosni timovi skrate vreme istrage, kontrolišu neovlašćene alate za daljinski pristup i povećaju vidljivost nad identitetima i krajnjim uređajima.

Šta uraditi - Proveriti da li su u firmi instalirani neodobreni alati za daljinski pristup kao što su ScreenConnect i Action1. - Pojačati višefaktorsku proveru identiteta za Microsoft 365 i obratiti pažnju na sumnjive prijave. - Upozoriti zaposlene na lažne poruke koje se predstavljaju kao Adobe, DocuSign, Zoom i Microsoft 365.