Negli ultimi mesi le campagne di phishing contro Microsoft 365 stanno diventando più sofisticate grazie a strumenti di tipo adversary in the middle. Tra questi spicca NovaCookies, un toolkit che agisce come proxy e intercetta in tempo reale il flusso di autenticazione, riuscendo a rubare la sessione anche quando la vittima inserisce correttamente password e codici MFA.
NovaCookies viene proposto come servizio in abbonamento, con un modello phishing as a service in cui l’infrastruttura non è gestita dai singoli affiliati ma ospitata centralmente. Questo approccio riduce la complessità per i criminali e permette di lanciare attacchi su larga scala contro organizzazioni in diversi settori e paesi, tra cui Stati Uniti, Regno Unito, Canada, Germania, Israele ed Emirati Arabi Uniti. In base alle analisi, il toolkit mostra anche legami con la famiglia Sneaky 2FA e include flussi dedicati non solo a Microsoft ma anche ad altri identity provider come Okta e domini Entra federati.
Un elemento chiave delle campagne NovaCookies è l’uso di notifiche Docusign reali. In pratica l’email arriva da un mittente legittimo e supera i controlli di reputazione e autenticazione del mittente, mentre la parte malevola è contenuta nel documento condiviso. Il messaggio simula un avviso di condivisione, ad esempio un PDF di remittance advice, e invita ad aprire il file. Il link dannoso è inserito nel documento in modo da sfuggire ai controlli di molti prodotti di sicurezza email, che spesso ispezionano solo i livelli più evidenti o i collegamenti diretti nel corpo del messaggio.
Dopo il clic, la catena di attacco può includere passaggi su endpoint legittimi di accesso Microsoft o Google per rendere il percorso più credibile, fino ad arrivare alla pagina controllata dagli attaccanti. Qui entra in gioco la tecnica di OAuth error redirect, che consente di reindirizzare l’utente verso infrastruttura malevola mantenendo un aspetto affidabile. A quel punto il relay AitM inoltra le richieste a Microsoft 365 in tempo reale, catturando cookie e token di sessione utili per il dirottamento dell’account.
Il servizio integra anche meccanismi di evasione come gate Cloudflare e controlli anti-analisi per evitare scanner automatici e strumenti di debug, servendo il falso modulo di login solo a vittime ritenute valide.