แพลตฟอร์ม Phishing-as-a-Service (PhaaS) ที่ชื่อว่า Greatness กลับมาเคลื่อนไหวอีกครั้ง โดยเพิ่มความสามารถใหม่ในการโจมตีบัญชี Microsoft 365 ผ่านการปลอมเป็นอีเมลแจ้งเตือน RingCentral Voicemail พร้อมผสานเทคนิค Adversary-in-the-Middle (AiTM) และ Device Code Phishing เพื่อขโมย Session Token และเข้ายึดบัญชีได้ แม้ผู้ใช้จะเปิดใช้งาน Multi-Factor Authentication (MFA) แล้วก็ตาม
Greatness คืออะไร?
Greatness เป็นบริการ Phishing-as-a-Service (PhaaS) ที่เปิดให้ผู้ไม่หวังดีสมัครใช้งานเพื่อสร้างแคมเปญฟิชชิงได้ง่ายขึ้น โดยก่อนหน้านี้เป็นที่รู้จักในฐานะเครื่องมือขโมยข้อมูลล็อกอิน Microsoft 365 แต่ล่าสุดได้เพิ่มฟีเจอร์ใหม่ที่ช่วยให้การโจมตีมีประสิทธิภาพมากกว่าเดิม ได้แก่
- รองรับการโจมตีแบบ Adversary-in-the-Middle (AiTM)
- รองรับ Device Code Phishing
- ปลอมหน้า Sign-in ของ Microsoft ได้แนบเนียน
- ขโมย Session Token เพื่อเข้าถึงบัญชีโดยไม่ต้องใช้รหัสผ่านซ้ำ
- มีเทมเพลตหลอกลวงหลายรูปแบบ เช่น Outlook, OneDrive, DocuSign และ Voicemail
หลอกเป็นอีเมล RingCentral Voicemail
ในการโจมตีล่าสุด ผู้โจมตีจะส่งอีเมลที่ปลอมเป็น RingCentral Voicemail Notification ซึ่งมีลักษณะคล้ายอีเมลแจ้งเตือนข้อความเสียงจริง ทำให้ผู้ใช้เชื่อถือและกดลิงก์ภายในอีเมล
เมื่อคลิกที่ลิงก์ เหยื่อจะถูกพาไปยังหน้าเข้าสู่ระบบ Microsoft ที่ถูกปลอมขึ้นมา หรือเข้าสู่ขั้นตอน Device Code Authentication ตามสถานการณ์ที่ผู้โจมตีเลือกใช้ เพื่อหลอกให้ยืนยันตัวตนและมอบสิทธิ์การเข้าถึงบัญชี Microsoft 365 ให้กับผู้โจมตี
Device Code Phishing อันตรายแค่ไหน?
Device Code Phishing เป็นเทคนิคที่กำลังได้รับความนิยมมากขึ้น เนื่องจากอาศัยกระบวนการยืนยันตัวตนของ Microsoft ที่ถูกต้องตามปกติ แทนการขโมยรหัสผ่านโดยตรง
เมื่อเหยื่อดำเนินการตามขั้นตอน ผู้โจมตีจะได้รับ OAuth Access Token หรือ Session Token ที่สามารถนำไปใช้เข้าถึงบัญชี Microsoft 365 ได้ทันที โดยไม่จำเป็นต้องทราบรหัสผ่าน และในหลายกรณีสามารถหลีกเลี่ยงการป้องกันของ MFA ได้ เพราะเป็นการใช้ Token ที่ผ่านการยืนยันตัวตนแล้ว
แนวทางการป้องกัน
- เปิดใช้งาน Conditional Access Policies เพื่อจำกัดหรือปิดการใช้งาน Device Code Authentication หากไม่จำเป็น
- ใช้ FIDO2 Security Key หรือ MFA แบบ Number Matching ซึ่งป้องกันการโจมตี AiTM ได้ดีกว่า
- ตรวจสอบ OAuth Consent และ Session ที่ผิดปกติเป็นประจำ
- เฝ้าระวังการเข้าสู่ระบบจาก IP Address หรืออุปกรณ์ที่ไม่คุ้นเคย
- อบรมผู้ใช้งานให้ระวังอีเมลแจ้งเตือน Voicemail หรือข้อความที่เร่งให้เข้าสู่ระบบทันที แม้จะดูเหมือนมาจากบริการที่เชื่อถือได้ก็ตาม
หากต้องการใช้งาน Microsoft 365 พร้อมคำแนะนำด้านความปลอดภัย hostatom พร้อมช่วยดูแลและให้คำปรึกษา
ที่มา: BleepingComputer
