Μια νέα πλατφόρμα «phishing-as-a-service» με την ονομασία Forg365 ενισχύει τις κυβερνοεπιθέσεις εναντίον λογαριασμών Microsoft 365, συνδυάζοντας τεχνητή νοημοσύνη, κλοπή συνεδριών σύνδεσης και εργαλεία διατήρησης πρόσβασης μετά την παραβίαση.
Η υπηρεσία δείχνει πώς το ηλεκτρονικό έγκλημα μετατρέπεται σε πιο επαγγελματική δραστηριότητα. Αντί οι επιτιθέμενοι να δημιουργούν μόνοι τους υποδομές, μπορούν να χρησιμοποιούν έτοιμα εργαλεία, πρότυπα phishing και αυτοματοποιημένες λειτουργίες μέσω συνδρομητικών υπηρεσιών.
Forg365: Επιθέσεις μέσω κωδικών συσκευής και AiTM
Το Forg365 υποστηρίζει δύο βασικές τεχνικές επίθεσης. Η πρώτη βασίζεται σε phishing μέσω κωδικού συσκευής, όπου το θύμα καλείται να εισαγάγει έναν κωδικό σε διαδικασία που μοιάζει με νόμιμη σύνδεση της Microsoft. Ο κωδικός όμως μπορεί να δώσει στον επιτιθέμενο πρόσβαση σε μια συνεδρία που ελέγχει ο ίδιος.
Η δεύτερη μέθοδος είναι η επίθεση adversary-in-the-middle (AiTM), κατά την οποία μια πλαστή σελίδα παρεμβάλλεται ανάμεσα στον χρήστη και την πραγματική υπηρεσία αυθεντικοποίησης. Με αυτόν τον τρόπο μπορούν να κλαπούν διακριτικά πρόσβασης και cookies του προγράμματος περιήγησης.
Η τεχνητή νοημοσύνη δημιουργεί πιο πειστικά μηνύματα
Ένα από τα πιο ανησυχητικά χαρακτηριστικά της πλατφόρμας είναι η χρήση τεχνητής νοημοσύνης για τη δημιουργία μηνυμάτων phishing. Οι επιτιθέμενοι μπορούν να παράγουν πειστικά επιχειρηματικά έγγραφα, τιμολόγια, ειδοποιήσεις ασφαλείας ή αιτήματα αλλαγής κωδικού πρόσβασης.
Το Forg365 περιλαμβάνει επίσης εργαλεία προγραμματισμού εκστρατειών, εναλλαγής SMTP, δημιουργίας συνδέσμων ανακατεύθυνσης και προτύπων που μιμούνται δημοφιλείς υπηρεσίες όπως SharePoint, OneDrive και DocuSign.
Διατήρηση ελέγχου μετά την παραβίαση
Η πλατφόρμα δεν περιορίζεται στην αρχική επίθεση. Μέσω λειτουργιών όπως το Token Vault, οι επιτιθέμενοι μπορούν να αποθηκεύουν κλεμμένα διακριτικά πρόσβασης και να εξετάζουν περιεχόμενο από παραβιασμένα γραμματοκιβώτια.
Οι οργανισμοί καλούνται να παρακολουθούν ύποπτες συνδέσεις Microsoft Entra, νέες καταχωρίσεις συσκευών και ασυνήθιστη πρόσβαση στο Microsoft Graph. Σε περίπτωση παραβίασης, η αλλαγή κωδικού πρόσβασης δεν αρκεί – απαιτείται ανάκληση συνεδριών και διακριτικών ώστε να απομακρυνθεί πλήρως η πρόσβαση των επιτιθέμενων.