บริการ Phishing ปลอมตัวเป็น RingCentral เพื่อขโมยบัญชี Microsoft 365

แพลตฟอร์ม Phishing-as-a-Service (PhaaS) ที่ชื่อว่า Greatness ได้ขยายขีดความสามารถจากเดิมที่เป็นเพียง Credential Phishing ไปสู่การโจมตีแบบ Adversary-in-the-Middle และ Device Code Phishing ที่มุ่งเป้าไปยังบัญชี Microsoft 365

แพลตฟอร์มนี้เปิดใช้งานมาตั้งแต่ช่วงกลางปี 2022 เป็นอย่างน้อย โดยมุ่งเป้าโจมตีผู้ใช้งาน Microsoft 365 ในสหรัฐอเมริกา, แคนาดา, สหราชอาณาจักร, ออสเตรเลีย และแอฟริกาใต้

แพลตฟอร์มนี้มีการพัฒนาต่อเนื่องมาตลอดหลายปี และปัจจุบันมุ่งเป้าโจมตีหลายแพลตฟอร์ม ทั้ง Microsoft 365, iCloud, Yahoo และ Google Workspace

ปัจจุบันมีการวางขายให้กับกลุ่มอาชญากรไซเบอร์ในราคา 289 ดอลลาร์ต่อเดือน ผ่านช่องทาง Telegram ที่มีสมาชิกหลายพันราย

ในแคมเปญล่าสุดที่นักวิจัยจาก ZeroBEC บริษัทด้านความปลอดภัยของอีเมลตรวจพบ ผู้โจมตีที่ใช้ Greatness ได้ใช้แพลตฟอร์มสื่อสาร RingCentral เพื่อ Bypass ระบบกรองอีเมลด้านความปลอดภัยฝั่งผู้รับ

RingCentral เป็นแพลตฟอร์มสื่อสารที่องค์กรธุรกิจใช้งานสำหรับบริการต่าง ๆ เช่น การโทรผ่านระบบคลาวด์, การส่งข้อความ และ Voicemail

ในการโจมตีแบบ Phishing ของ Greatness ผู้โจมตีได้ปลอมตัวเป็นแพลตฟอร์มดังกล่าว โดยอ้างว่าอีเมลถูกส่งมาจาก `service@ringcentral[.]com` และมุ่งเป้าไปยังผู้ที่ใช้งานบริการนี้อยู่จริง

อีเมลเหล่านี้ใช้การแจ้งเตือน Voicemail ปลอม และการแจ้งเตือนเรื่องการประเมินผลการปฏิบัติงานปลอม เป็นเหยื่อล่อเพื่อจูงใจให้ผู้รับเปิดอ่าน

แม้ว่าอีเมลเหล่านี้จะถูกส่งมาจากเมลเซิร์ฟเวอร์ของ IONOS ที่ไม่ทราบที่มา, ไม่ผ่านการตรวจสอบ SPF และ DMARC อีกทั้งยังไม่มี DKIM signature แต่ระบบฝั่งผู้รับก็ยังคงยอมรับอีเมลเหล่านั้น เนื่องจาก RingCentral ถูกกำหนดไว้ในรายการ Whitelist

นอกจากนี้ อีเมลดังกล่าวยังมีการแนบแบนเนอร์ปลอมที่อ้างว่าผู้ส่งได้ผ่านการตรวจสอบจากรายชื่อผู้ส่งที่เชื่อถือได้ (Safe-sender List) ขององค์กรแล้ว ซึ่งช่วยลดความน่าสงสัยในสายตาของผู้รับลงไปอีก

ZeroBEC อธิบายว่า เทคนิคนี้ทำให้อีเมลได้ค่า Spam Confidence Level (SCL) เท่ากับ -1 บน Microsoft Exchange จึงสามารถ Bypass ขั้นตอนการกรองอีเมลตามปกติไปได้

เมื่อเหยื่อคลิกปุ่มที่ฝังอยู่ในอีเมลเหล่านั้น จะถูกพาไปยังโครงสร้างพื้นฐานของ Greatness ซึ่งจะส่งต่อเหยื่อไปยังขั้นตอนการ Phishing แบบ Adversary-in-the-Middle (AiTM) ของ Microsoft ที่ใช้ดักจับ Authentication Token ที่ผ่าน MFA แล้ว หรือไม่ก็ส่งไปยังขั้นตอนการ Phishing แบบ Device Code

หลังจากเข้าควบคุมบัญชีได้แล้ว ผู้โจมตีจะนำ Authentication Token ของ Microsoft 365 กลับมาใช้ซ้ำจากโครงสร้างพื้นฐานที่เป็น VPS และ VPN เพื่อเข้าถึงบัญชีที่ถูกโจมตี

จากนั้นผู้โจมตีจึงใช้ Microsoft Graph ในการ Enumerate ข้อมูลดังต่อไปนี้

• Outlook mailboxes
• บทสนทนาบน Teams
• ไซต์บน SharePoint
• ไฟล์บน OneDrive
• รายชื่อผู้ติดต่อ
• ปฏิทิน
• แอปพลิเคชันที่ลงทะเบียนไว้

โดยในบางกรณี ผู้โจมตียังคงเข้าถึงบัญชีได้ต่อเนื่องนานกว่าสองสัปดาห

ทั้งนี้เป็นที่น่าสังเกตว่า RingCentral เพิ่งเปิดเผยเหตุการณ์ข้อมูลรั่วไหลเมื่อไม่นานมานี้ ซึ่งกลุ่ม ShinyHunters ได้ออกมาอ้างว่าเป็นผู้อยู่เบื้องหลัง

โดยบริษัทได้ระบุใน Security Bulletin ที่เผยแพร่เมื่อวันที่ 28 กรกฎาคมว่า "เหตุการณ์นี้ส่งผลกระทบต่อข้อมูลของลูกค้า RingCentral เพียงบางส่วนเท่านั้น และเรากำลังติดต่อสื่อสารกับลูกค้าที่ได้รับผลกระทบโดยตรง"

ZeroBEC ให้ความเห็นว่า มีความเป็นไปได้ที่อาชญากรไซเบอร์ซึ่งใช้งาน Greatness จะได้รายชื่อเป้าหมายที่ใช้งานแพลตฟอร์ม RingCentral อยู่จริงมาจากเหตุการณ์ดังกล่าว แม้ว่าจะยังไม่สามารถยืนยันความเชื่อมโยงได้อย่างชัดเจนก็ตาม

นักวิจัยแนะนำให้ตรวจสอบ Safe-sender List และเปลี่ยนจากการกำหนดสิทธิ์ยกเว้น (Exclusions) ทั้งโดเมน ไปเป็นกฎ (Rule) ที่กำหนดให้อีเมลต้องผ่านการยืนยันตัวตนอย่างถูกต้อง

นอกจากนี้ ควรตรวจหาโครงสร้างพื้นฐานของ Greatness และการเข้าสู่ระบบ Microsoft 365 ที่ผ่านการอนุมัติ MFA อย่างน่าสงสัย ซึ่งมาจาก IP Address ของผู้ให้บริการ Hosting หรือ VPN

หากสงสัยว่าถูกโจมตี ผู้ดูแลระบบควรเพิกถอน Access Token และ Refresh Token ทั้งหมด รวมถึงตรวจสอบการให้สิทธิ์แบบ OAuth (OAuth Consent), กิจกรรมบน Microsoft Graph และการเข้าถึงบริการต่าง ๆ ของ Microsoft 365

ที่มา : bleepingcomputer