NovaCookies 活动滥用真实 Docusign 通知窃取 Microsoft 365 会话

网络安全研究人员披露了一个名为 NovaCookies 的新型中间人（AitM）钓鱼工具包的详细信息，该工具包被用作代理来重定向 Microsoft 365 登录，同时在此过程中捕获经过身份验证的会话。
在发布前与 The Hacker News 分享的一份报告中，Island 将该每月 320 美元的服务描述为一个基于订阅的钓鱼平台，可促进实时 Microsoft 365 会话窃取。迄今为止，该工具包已被用于针对美国、英国、加拿大、德国、以色列和阿联酋等多个行业数百家组织。
"观察到的活动使用真实的 Docusign 信封来携带伪造的文档共享诱饵，部分点击在到达工具包之前，会通过合法的 Microsoft 或 Google 登录端点作为重定向跳板进行路由，"Island 表示。"因此，在浏览器到达攻击者控制的基础设施之前，消息、文档服务和重定向都可能看起来是可信的。"
与其他 AitM 钓鱼工具包一样，NovaCookies 旨在通过攻击者控制的基础设施中继 Microsoft 365 身份验证，使其充当代理，并在受害者输入密码和多因素认证（MFA）代码后窃取生成的会话。
证据表明，NovaCookies 通过 Telegram 进行推广，该消息服务还被用作管理客户资料、配置重定向服务和联系支持的基础设施。据 Proofpoint 称，NovaCookies 被评估为 Sneaky 2FA 钓鱼工具包的一个变种。
"虽然最初的 Sneaky2FA 似乎主要针对 Microsoft 账户，但 NovaCookies 变种包括针对其他身份提供商的专用流程，包括 Okta 和联合到 GoDaddy 的 Entra 域，"Proofpoint 在上个月的一篇 X 帖子中指出。
"与 Sneaky2FA 不同，NovaCookies 使用完全托管的钓鱼即服务（PhaaS）模式，联盟成员付费使用 PhaaS 平台，基础设施由 PhaaS 运营商集中托管，而非由每个联盟成员自行托管。"
许多 NovaCookies 诱饵域名被发现托管在".vu"域名上（例如，"fordmotbvmorcompany[.]vu"），钓鱼 URL 采用交替大小写的标签，如 PwPt-sHaRe、Ms36-AcCeSs 和 ClOd-ViEw，试图伪装成合法的 Microsoft 服务。
其中一条攻击链使用 Docusign 通知作为诱饵，将受害者引向钓鱼页面，同时利用电子邮件是真实 Docusign 通知这一事实，绕过发件人身份验证和声誉检查。恶意的是通过该服务共享的文档。
"伪装成 Docusign 共享通知，声称财务部门已共享了一份汇款通知 PDF，并邀请收件人打开它，"Island 表示。"恶意目标位于文档内部，在大多数邮件安全产品检查的层级之下。"
然后，该攻击采用 Microsoft 今年 3 月详细描述的 OAuth 错误重定向技术，将受害者引向攻击者控制的基础设施。NovaCookies 运营的钓鱼基础设施是一个实时的 AitM 中继，旨在捕获凭据和会话信息，并实时将其中继到 Microsoft。
该商业产品还声称拥有各种反分析检查，以在提供伪装成 Microsoft 365 的虚假登录表单之前规避安全扫描器。这包括一个 Cloudflare 关卡和一个检测与调试工具相关的执行传递的机制。
"NovaCookies 的构建方式使得每个跳板本身看起来都是合法的：一个可信的投递服务，一个身份提供商重定向，然后是一个熟悉的登录页面，"Island 表示。"这些部分通常落入不同的工具中。浏览器是它们汇合成为单一事件的地方。"
此次披露正值 PhaaS 工具包继续成为网络犯罪地下世界中利润丰厚的订阅服务，使几乎没有技术专长的网络犯罪分子能够大规模发起钓鱼活动。近几个月出现的一些新服务包括：

• AnonyMousKIT：自 2024 年初以来一直活跃，使用人工智能驱动的语音钓鱼策略，通过伪装成 Apple 支持并要求他们在嵌入在电子邮件中的虚假域名上提供设备密码、Apple ID 和 6 位 2FA 代码来针对被盗设备所有者，最终目标是禁用设备的 Activation Lock 并将其转售。该服务通过"丢失模式"功能获取所有者的联系信息，并通过电子邮件、短信、WhatsApp 或电话与他们联系。
• p1bot.io：一个语音钓鱼即服务平台，使用 ElevenLabs 的文本转语音功能生成英语、法语或西班牙语的交互式语音应答（IVR）提示，在通话中向受害者播放，并实时捕获按键输入（例如 PIN、OTP 或账号）。
• Bluekit：宣传 40 多个网站模板、自动域名购买和注册、2FA 支持、欺骗、地理位置模拟、Telegram 和浏览器通知、反机器人隐藏，以及 AI 助手、语音克隆和邮件发送器等附加组件。
• ATHR：使用 AI 语音钓鱼代理、凭据收集面板和内置钓鱼邮件发送器来执行和扩展电话导向攻击（TOAD）。
• ZeroTokens：支持冒充 53 个金融机构品牌，以窃取凭据、身份数据、支付详情和验证码。该服务使用十个发件人域（四个".com"和六个".asia"）和九个 SendGrid 账户来绕过 SPF、DKIM 和 DMARC 检查。
• iAuthFlow V2：使用浏览器中间人（BitM）中继，将通过钓鱼获得的 Google 会话的临时立足点转变为持久访问，方法是注册攻击者控制的通行密钥。基础套餐售价 10,000 美元，额外功能模块单独出售，还有针对 Microsoft、iCloud 和 LinkedIn 的其他版本。
• LinXcoded（又名 Mirage2FA）：利用被入侵的发件人、分析规避和实时 Microsoft 365 中继来捕获经过身份验证的会话。利用该工具包的钓鱼消息来自被入侵的、经过身份验证的 Microsoft 365 租户，并将负载作为 HTML 附件（而非消息正文中的链接）携带，以规避电子邮件安全控制。
• Matrix：与 Sneaky 2FA 同源，通过 AitM 收集器实现 Microsoft 365 凭据钓鱼。利用该工具包的钓鱼消息使用 OneDrive 通知，提示收件人打开共享文档。
• ARToken：通过 OAuth 设备代码流窃取 Microsoft 365 令牌，并通过从被入侵的合法 Google Workspace 或 Microsoft 365 邮箱发送的发票主题钓鱼电子邮件实现完全账户接管，这些邮件链接到托管在被入侵第三方租户上的匿名 SharePoint 文件共享。该共享包含一个 Windows Internet Shortcut 文件，显示身份验证提示以执行设备代码钓鱼。
• Blacksite：将 AitM 反向代理工具包与隐藏服务 Cloaked.gg 配对，以隐藏钓鱼页面免受自动 URL 分析，并向扫描器提供良性诱饵。该工具包旨在实时拦截身份验证令牌、会话 cookie 和一次性 2FA 代码。
• Balonx Sistema：一个墨西哥 PhaaS 运营，针对该国 20 多家金融机构，具有实时 WebSocket 受害者交互、基于 Spyroid 的集成 Android 远程访问木马（RAT），以及名为 CallFlow 的高级 AI 驱动语音钓鱼组件，该组件通过合成语音和大型语言模型（LLM）自动化语音欺诈。自至少 2025 年 10 月以来，已收集超过 1,100 名用户的凭据和财务信息。
• EvilTokens：提供现成的 Microsoft 设备代码钓鱼工具包和恶意 AI 驱动的分析服务，允许客户识别用于欺诈和诈骗活动的有价值数据。
• Forg365：结合设备代码钓鱼、AitM 策略、反机器人规避、AI 辅助诱饵创建以及针对 Microsoft 365 账户的入侵后邮箱操作。
  这些发现还出现在一个被追踪为 DOUBLOON DREDGER 的威胁行为者被观察到滥用 Notion 账户邀请目标查看包含恶意链接的 PDF，点击该链接会将他们带到 EvilTokens 设备代码收集页面。

"他们滥用 Notion 以获得合法的电子邮件发件人、可信的基础设施以及托管恶意 PDF 的地方，"Sublime 表示。"他们使用一个包含两到三个重叠链接的 PDF 生成器，试图规避防御工具和检测，同时可能通过冗余基础设施延长任何单个恶意 PDF 的有效期。"
"负载着陆页使用类似于近期 Tycoon 2FA 设备代码收集活动的 JavaScript 混淆和加密技术。"
低置信度怀疑 DOUBLOON DREDGER 已获得 EvilTokens 和 Tycoon 2FA 的访问权限，然后在 PhaaS 工具包前使用他们自己的自定义第一阶段 JavaScript。该威胁行为者被认为具有经济动机。
"EvilTokens 代表了 PhaaS 市场的结构性转变。以前的平台将攻击的前端商品化：诱饵、着陆页、凭据捕获，"Flare 安全研究员 Assaf Morag 表示。"EvilTokens 将后续阶段商品化。"
"通过自动化收件箱分析、利益相关者映射和 AI 生成的欺诈消息，它消除了曾经将捕获的令牌与成功财务入侵区分开来的技能障碍。联盟成员不再需要了解商业电子邮件入侵的技艺，因为平台将其作为一项功能提供。"