12/05/2023    

BOLETÍN NRO 2023-300

Greatness, por ahora, está enfocado solo en páginas de phishing de Microsoft 365, proporcionando a sus afiliados un constructor de adjuntos y enlaces que crea páginas de inicio de sesión y señuelos altamente convincentes.

Contiene características como tener el correo electrónico de la víctima ya completado y mostrar el logotipo y la imagen de fondo de su empresa correspondiente, extraídos de la página de inicio de sesión real de Microsoft 365 de la organización objetivo. Esto hace que Greatness sea particularmente adecuado para hacer phishing a usuarios empresariales.

El ataque comienza cuando la víctima recibe un correo electrónico malicioso, que generalmente contiene un archivo HTML como adjunto y, bajo el pretexto de un documento compartido, lleva a la víctima a abrir la página HTML adjunta.

Una vez que la víctima abre el archivo HTML adjunto, el navegador web ejecuta un breve fragmento de código JavaScript ofuscado que establece una conexión con el servidor del atacante para obtener el código HTML de la página de phishing y mostrarlo al usuario en la misma ventana del navegador. Este código contiene una imagen borrosa que muestra una rueda giratoria, fingiendo cargar el documento.

Luego, la página redirige a la víctima a una página de inicio de sesión de Microsoft 365, generalmente precompletada con la dirección de correo electrónico de la víctima y el fondo y logotipo personalizados utilizados por su empresa.

Una vez que la víctima envía su contraseña, el servicio PaaS se conectará a Microsoft 365, suplantará a la víctima e intentará iniciar sesión. Si se utiliza la autenticación MFA, el servicio solicitará a la víctima que se autentique usando el método MFA solicitado por la página real de Microsoft 365 (por ejemplo, código SMS).

Una vez que el usuario ingresa el código SMS en la página de phishing, el servicio Greatness se conecta a la autenticación de Microsoft 365 y realiza el inicio de sesión en nombre del usuario. El servicio luego recopila las cookies de sesión autenticadas y las envía al afiliado del servicio a través de un canal de Telegram o directamente a través del panel web.

La idea detrás de este servicio es permitir que incluso los ciberdelincuentes menos capacitados realicen campañas de phishing altamente efectivas y convincentes contra empresas. Además, la inclusión de la opción de MFA bypass en Greatness lo hace especialmente peligroso, ya que esta es una de las medidas más efectivas que las empresas pueden tomar para proteger sus cuentas en línea.