Μια νέα, επικίνδυνη τεχνική phishing έχει εμφανιστεί, στοχεύοντας χρήστες της Microsoft, προκειμένου να αποκτήσουν πρόσβαση στους προσωπικούς τους λογαριασμούς. Οι επιτιθέμενοι αξιοποιούν μια νόμιμη δυνατότητα ελέγχου ταυτότητας της εταιρείας, ξεγελώντας τα θύματα να παραδώσουν τα διαπιστευτήριά τους χωρίς να το καταλάβουν. Η μέθοδος αυτή διεισδύει βαθιά στα συστήματα ασφάλειας, και χρειάζεται ιδιαίτερη προσοχή από τους χρήστες.
Αυτός ο τύπος phishing είναι ιδιαίτερα επικίνδυνος, καθώς οι χρήστες δεν απομακρύνονται από την αυθεντική σελίδα σύνδεσης της Microsoft, γεγονός που καθιστά τη μέθοδο πιο πειστική. Οι επιτιθέμενοι εκμεταλλεύονται τη δυνατότητα που ονομάζεται Ροή Κώδικα Συσκευής, που επιτρέπει σε συσκευές χωρίς πληκτρολόγιο να συνδέονται με λογαριασμούς χρησιμοποιώντας έναν κωδικό που αποστέλλεται σε ένα κοντινό τηλέφωνο.
Ερευνητές από το Securelist αποκάλυψαν ότι η συγκεκριμένη καμπάνια εκδηλώθηκε από τον Απρίλιο μέχρι τον Μάιο του 2026, στοχεύοντας πραγματικούς χρήστες. Η επιχείρηση ξεκινούσε με την αποστολή ενός email που παρουσιαζόταν ως ειδοποίηση από δικηγορικό γραφείο και περιλάμβανε ένα κακόβουλο PDF, σχεδιασμένο να φαίνεται νόμιμο.
Σύμφωνα με το Securelist, το PDF οδηγούσε τα θύματα σε μια σελίδα που αν και θύμιζε το γνήσιο σύστημα σύνδεσης της Microsoft, είχε ένα επικίνδυνο twist. Οι χρήστες καλούνταν να αντιγράψουν έναν κωδικό μίας χρήσης και στη συνέχεια να τον επικολλήσουν στην αυθεντική σελίδα, παραδίδοντας έτσι την πρόσβαση στον λογαριασμό τους στους επιτιθέμενους.
Η σοβαρότητα της συγκεκριμένης τεχνικής έγκειται στο γεγονός ότι παρακάμπτει τις κοινές συμβουλές για τον έλεγχο της διεύθυνσης URL πριν από την εισαγωγή διαπιστευτηρίων. Ακόμα και οι προσεκτικοί χρήστες μπορούν να πέσουν θύματα, καθώς η τελική οθόνη σύνδεσης μοιάζει απολύτως αυθεντική και η έγκριση του κωδικού μίας χρήσης δεν προσφέρει περαιτέρω προστασία.
Η Υποκίνηση της Επίθεσης
Η διαδικασία της επίθεσης ενεργοποιείται μόλις το θύμα ανοίξει το κακόβουλο PDF που υπάρχει στο email.
Μέσα στο PDF, ένας φαινομενικά ασφαλής σύνδεσμος καταλήγει να ανακατευθύνει τον χρήστη σε μια ψεύτικη πύλη που έχει σχεδιαστεί ώστε να φαίνεται αξιόπιστη. Αυτή η πύλη περιλαμβάνει ελέγχους CAPTCHA για να αποφευχθεί η ανίχνευση από αυτοματοποιημένα σενάρια, εξασφαλίζοντας ότι το θύμα θα φτάσει σε μια σελίδα με έναν κωδικό μίας χρήσης που πρέπει να αντιγράψει.
.webp)
Αφού ο χρήστης αντιγράψει αυτόν τον κωδικό και επικολλήσει την πληροφορία στην πραγματική σελίδα σύνδεσης της Microsoft, η διαδικασία ολοκληρώνεται. Ταυτόχρονα, το σύστημα του εισβολέα αποδέχεται τον κωδικό που έχει ήδη ζητήσει από τους διακομιστές της Microsoft.
.webp)
Αυτό επιτρέπει στον εισβολέα να αποκτήσει πρόσβαση σε έναν συνδυασμό προνομίων: μπορoύν να διαβάζουν και να στέλνουν email, να ανακτούν αρχεία από το OneDrive και να παρακολουθούν συνομιλίες στο Teams χωρίς καμία ανάγκη για κωδικό πρόσβασης.
Ευρύτερη Επίδραση και Προτάσεις Προστασίας
Αυτή η καμπάνια δεν ήταν μεμονωμένη, καθώς, σύμφωνα με το Securelist, η ομάδα πίσω από την επίθεση έχει προσαρμόσει τις τακτικές της για να ανταγωνίζεται διαφορετικές αγορές, συμπεριλαμβανομένων εναλλακτικών εκδόσεων που στοχεύουν Βραζιλιάνους χρήστες. Οι παραλλαγές αυτές καταλήγουν πάντα στο ίδιο επικίνδυνο αποτέλεσμα.
Οι χρήστες θα πρέπει να είναι ιδιαίτερα προσεκτικοί στην έγκριση ενός αιτήματος σύνδεσης συσκευής που δεν έχουνinitiated. Οποιοδήποτε email ή ιστότοπος φαίνεται επίσημος δεν εγγυάται ότι είναι ασφαλής.
Ακόμη και αν ο σύνδεσμος οδηγεί σε έναν γνήσιο τομέα, η εισαγωγή κωδικών από απροσδόκητα emails πρέπει να αποφεύγεται, καθώς οι επιτιθέμενοι μπορούν να αξιοποιήσουν άλλες ευπάθειες μέσα σε γνωστούς συνδέσμους.
Πριν κάνετε κλικ σε οποιονδήποτε σύνδεσμο, επιθεωρήστε την διεύθυνση URL τοποθετώντας το δείκτη του ποντικιού πάνω του. Αξιολογήστε το προορισμό του, να είστε προσεκτικοί με απροσδόκητες παραμέτρους που μπορεί να ανακατευθύνουν σε επικίνδυνες τοποθεσίες.
Οργανισμοί που χρησιμοποιούν την Ροή Κωδικών Συσκευής θα πρέπει να εξετάσουν με προσοχή την αναγκαιότητά της για καθημερινή εργασία και να την απενεργοποιούν εάν δεν είναι απαραίτητη. Αυτό πρέπει να συνοδεύεται από σύστημα ειδοποιήσεων για εισόδους από ασυνήθιστες τοποθεσίες και παρακολούθηση των συμβάντων DeviceCodeSignIn.
Η υιοθέτηση αυτών των μέτρων σε συνδυασμό με έναν ισχυρό μηχανισμό ηλεκτρονικού ταχυδρομείου παρέχει μια πιο αποκλειστική άμυνα έναντι αυτής της απειλής.
