假冒 IT 来电针对高管实施 Microsoft 365 数据窃取与勒索攻击

威胁猎手披露了一个大规模数据窃取与勒索威胁集群的细节，该集群通过 IT 服务台语音钓鱼、对抗中间人 (AitM) 令牌窃取以及住宅代理登录，针对 Microsoft 365 和其他软件即服务 (SaaS) 产品发起攻击。

该活动主要针对董事、副总裁及其他高管人员，Arctic Wolf 将其追踪为 PREY-0058，并表示其手法与 Google 旗下 Mandiant 称为 UNC6671 的数据勒索组织有显著的相似之处。

该公司还表示，被称为 Cinder 的数据勒索威胁行为者很可能代表了 Pink 行动的又一次改名或可能的延续，并援引 Cinder 泄露网站上列出的组织与 Pink 相关联组织之间的重叠作为依据。

值得注意的是，正如 Google 上月初所指出的，这些不断演变的标签并不对应单一已证实的行动者身份，而是一组无固定形态的附属团伙、分裂小队或使用相同底层钓鱼基础设施的群体。

攻击链始于威胁行为者在电话中冒充内部 IT 或服务台人员，引导潜在目标访问一个遵循以下模式的身份验证主题 URL：<受害组织名>.<诱饵域名>。Arctic Wolf 标记的部分诱饵域名如下——

• assignpasskey[.]com
• mfaregister[.]com
• nowsso[.]com
• oskeysetup[.]com
• oursso[.]com
• passkey-mfa[.]com
• passkeydeploy[.]com
• registermymfa[.]com
• setpasskey[.]com

这些攻击会引导用户进入一个由操作者控制的 AitM Microsoft 365 登录流程，旨在收集凭据和多因素认证 (MFA) 批准，以获取经过身份验证的会话令牌。随后，捕获的令牌被用于源自代理基础设施（如 NodeMaven）以及解析为与受害者相同地理位置和 ASN 的 IP 地址的会话重放攻击。

"初始登录活动涉及 'My Signins'、'My Profile'、'My Apps' 等应用，这些应用会揭示账户详情及受害者可用的应用程序，"研究人员 Steven Campbell、Trevor Daher、Stefan Hostetler 和 Joshua Riccio 在一份分析中表示。

"在获得初始访问后，威胁行为者会对 SharePoint 和 Entra ID 执行发现技术。SharePoint 发现包括带有 contentclass:STS_Site、contentclass:STS_Web 的 SearchQueryPerformed 事件，以及使用 indexdocid 进行分页的通配符搜索。"

在最后一步，威胁行为者从 SharePoint、OneDrive、Exchange 和 Box 进行大规模收集和外泄，然后向受害者发送勒索要求。

PREY-0058 值得注意的一点是，其不进行端点恶意软件部署或基于网络的横向移动。对诱饵基础设施子域的进一步分析发现了数百个冒充真实公司的条目。

攻击目标分布在美国各地，主要集中在建筑与工程、医疗与制药、房地产与物业管理、金融以及专业服务行业。

为应对这一威胁，建议组织实施条件访问 (Conditional Access) 策略、部署抗钓鱼 MFA、限制用户在 SharePoint 中可访问的数据范围，并对员工和服务台人员进行语音钓鱼风险教育。

"防御者可以通过检测异常的住宅代理令牌重放、SharePoint 发现和批量访问、邮箱收集以及新注册的身份验证主题诱饵基础设施来破坏此类活动，"Arctic Wolf 表示。