Una recente campagna di phishing Microsoft 365 sta colpendo in modo esteso organizzazioni in diversi settori, con un obiettivo molto preciso: prendere il controllo degli account e intercettare email legate a buste paga, HR e finanza. La tecnica utilizzata è quella dell’adversary in the middle (AitM), un approccio che si inserisce tra utente e servizio legittimo durante l’autenticazione, permettendo agli attaccanti di catturare credenziali e codici MFA senza dover installare malware sul dispositivo.
Gli attacchi partono spesso da email a tema segreteria telefonica che spingono la vittima a cliccare su link e accedere a pagine esca. Queste pagine agiscono come proxy del flusso reale di login Microsoft, replicando l’esperienza di autenticazione e rubando in modo silenzioso username, password e token o codici MFA. Un elemento chiave della campagna è l’uso di proxy residenziali, impiegati per far apparire gli accessi malevoli come traffico normale di consumatori e per ridurre la probabilità di blocco da parte dei controlli basati su reputazione IP.
La catena di reindirizzamenti è progettata per eludere i filtri di sicurezza email e web. Vengono sfruttati servizi affidabili come infrastrutture di link di Google, inclusi percorsi associati a Google Meet e sistemi di tracciamento dei clic, fino ad arrivare a contenuti ospitati su storage cloud come bucket S3. Solo alla fine la vittima viene indirizzata verso l’infrastruttura AitM vera e propria, rendendo più difficile per i sistemi di difesa attribuire il rischio al primo link.
Le pagine di phishing includono anche script di fingerprinting che raccolgono dettagli sul dispositivo e sul browser, come sistema operativo, lingua, fuso orario, dimensioni schermo, supporto cookie, WebGL e indicatori di automazione. In parallelo viene interrogata una API di geolocalizzazione per ottenere il paese, salvando il dato in un cookie e usando queste informazioni per selezionare proxy residenziali coerenti con la geografia della vittima. Questo spiega perché gli accessi sospetti possono provenire in pochi minuti dallo stesso paese dell’utente, evitando avvisi per login da località insolite.
Dopo la compromissione, gli attaccanti mantengono le sessioni con accessi ricorrenti a intervalli di circa otto ore, spesso con combinazioni anomale di browser e sistema operativo e user agent inattesi. In molte intrusioni l’attività si limita a ricognizione e raccolta delle mailbox, spesso tramite Microsoft Graph API, per individuare ruoli chiave e prelevare messaggi su pagamenti, fatture, benefici bancari e documenti interni. In alcuni casi vengono create regole di posta per spostare email in elementi eliminati e segnarle come lette, riducendo la visibilità per la vittima.