Три различни платформи за фишинг като услуга (Phishing-as-a-Service - PhaaS) – Sneaky 2FA, EvilTokens и EvilProxy – активно атакуват организации в САЩ с цел кражба на идентификационни данни за Microsoft 365 (M365) и сесийни токени, като ефективно неутрализират стандартните защити с многофакторна автентикация (MFA).

Всеки комплект използва фундаментално различен технически подход: компрометиране на сесии чрез атаки от тип „посредник“ (Adversary-in-the-Middle - AiTM), злоупотреба с OAuth Device-Code поток или пренасочване на идентификационни данни чрез обратен прокси сървър в реално време. Крайният резултат и при трите платформи е един и същ: напълно автентикирана M365 сесия или токен в ръцете на атакуващия, без реално да се „разбива“ самата MFA защитна стена.

За защитниците това представлява критична промяна в пейзажа на заплахите. Традиционният съвет „активирайте MFA“ вече не е достатъчен сам по себе си, тъй като тези комплекти са създадени специално за да накарат жертвата да завърши реални, легитимни MFA предизвикателства, докато атакуващият тихо прихваща генерирания сесиен артефакт.

Тази статия анализира инфраструктурата на всеки комплект, веригата на атаката, възможностите за засичане, картографирането по MITRE ATT&CK и данните за индикатори за компрометиране (IOC), необходими за защитните инструменти.

Защо само MFA вече не спира тези атаки

И трите комплекта експлоатират една и съща структурна слабост: MFA потвърждава, че е възникнало събитие за вход, а не къде попада полученият токен или бисквитка. Sneaky 2FA и EvilProxy действат като прокси „посредник“ (AiTM) на живо между жертвата и Microsoft, като предават реалния поток на автентикация и извличат сесийната бисквитка в момента на нейното издаване.

EvilTokens отива още по-далеч и изобщо не докосва идентификационни данни или бисквитки. Платформата злоупотребява с OAuth 2.0 Device Authorization Grant – поток, проектиран от Microsoft за устройства без клавиатура като смарт телевизори и IoT хардуер, подлъгвайки жертвата да оторизира клиента на атакуващия директно в собствената инфраструктура на Microsoft.

Комплект 1: Кражба на сесийни бисквитки чрез Sneaky 2FA AiTM

Sneaky 2FA е фишинг комплект от тип „посредник“ (AiTM), идентифициран за първи път от екипа за откриване на заплахи и изследвания на Sekoia през декември 2024 г., въпреки че кампаниите се проследяват назад до октомври 2024 г.

Той се продава като лицензиран, обфускиран PhaaS продукт чрез напълно автоматизиран Telegram бот с име @SneakyLog_bot, управляван от киберпрестъпна услуга, известна като „Sneaky Log“, която също продава инструменти за масово изпращане на имейли и за пренасочване/прикачени файлове.

Анализът на изтеклия изходен код разкрива, че той преизползва компоненти от AiTM комплекта W3LL OV6 (докладван от Group-IB през 2023 г.), включително идентична логика за обработка на User-Agent и функции за парсване на бисквитки.

Основната функция на комплекта за избягване на засичането е защитна стена с Cloudflare Turnstile (или reCAPTCHA) пред фалшивата страница за вход. Това блокира автоматизираните скенери и изолирани среди (пясъчници) от достигане до фишинг съдържанието, тъй като ботовете обикновено се провалят или пропускат CAPTCHA проверката.

На жертвите, които преминат проверката за хора, се показва пикселно точно клонирана страница за автентикация на Microsoft, като често се използват замъглени екранни снимки от реални M365 интерфейси (Outlook, OneDrive, SharePoint) за визуална стръв.

Верига на атаката:

  • Жертвата щраква върху фишинг връзка или QR код (често вградени в PDF файл със заглавие от рода на „Final Lien Waiver.pdf“)
  • Трафикът преминава през стъпка на отворено пренасочване, след което попада на Cloudflare Turnstile проверка, първоначално маскирана като добронамерена страница за храна „Gourmet Delights“
  • Филтриране по IP адрес тихо пренасочва заявки от центрове за данни, VPN, проксита или известни с малтретиране IP адреси към страница в Wikipedia, свързана с Microsoft, чрез href.li
  • На реалните жертви се показва фалшивият вход в M365; сървърът автоматично попълва имейла на жертвата от параметъра в URL адреса (autograb)
  • Идентификационните данни се изпращат с POST заявка към /validate; фишинг сървърът ги предава на живо към API за автентикация на Microsoft
  • Жертвата завършва реална MFA (известие от Authenticator, OTP или SMS) директно срещу бекенда на Microsoft
  • Сгенерираната сесийна бисквитка се прихваща от страна на сървъра и се предава на атакуващия за превземане на акаунта

Високоефективно засичане: „Невъзмяна на устройството“ (Impossible Device Shift)

Sekoia установи, че Sneaky 2FA кодира твърдо различен User-Agent низ за всяка стъпка от потока за автентикация, който пренасочва към Microsoft – например User-Agent на Safari за iOS при стъпката за вход, а след това User-Agent на Chrome за Windows при завършването на MFA. Това е модел, който браузърът на нито един реален потребител не би произвел в рамките на една и съща сесия.

Тази аномалия („невъзможна смяна на устройството“) може да бъде засечена чрез Sigma правила за корелация в одит логовете на Entra ID/M365, като се съпоставят събитията Login:login и Login:resume по корелационен идентификатор (Correlation ID) в рамките на 10-минутен прозорец.

Пълният набор от индикатори за компрометиране (IOC) на Sekoia обхваща около 61 индикатора (57 домейна, два IP адреса и два поддомейна), публично достъпни в CSV формат в хранилището на SEKOIA-IO Community в GitHub.

Допълнителни потвърдени домейни, контролирани от атакуващите, включват africanagrirnarket[.]com, allorganicitems[.]com, emailsay[.]com, files42[.]com, flonrenceorganics[.]us, guardiansresearch[.]org, intertrustsgroup[.]com, omnirayoprah[.]cfd, portalpowerfiles[.]top, reliant-rehabs[.]com, storageorder[.]sbs и windstreaim[.]com.

Независим DNS анализ установи средно време от 113 дни между регистрацията на домейн и откриването му от системи за киберразузнаване за инфраструктурата на Sneaky 2FA, като приблизително една трета от индикаторите (IOC) остават незабелязани за повече от 90 дни.