Een slimme phishing-campagne is gericht op Office 365-gebruikers

Microsoft waarschuwt voor een lopende, “sneaker dan normaal” phishing-campagne gericht op Office 365-gebruikers.

An active phishing campaign is using a crafty combination of legitimate-looking original sender email addresses, spoofed display sender addresses that contain the target usernames and domains, and display names that mimic legitimate services to try and slip through email filters.

— Microsoft Security Intelligence (@MsftSecIntel) July 30, 2021

De phishing e-mails

De phishers gebruiken verschillende thema’s als lokaas en de e-mails worden verzonden vanaf e-mailadressen van verschillende topleveldomeinen.

De afzenderadressen bevatten variaties van het woord ‘referral’, bijvoorbeeld zreffertalt.com.com, refferal.net, irefferal.com en dergelijke. De e-mails zijn gemaakt om eruit te zien alsof ze verwijzen naar een gedeeld document dat is opgeslagen op Microsoft SharePoint, een webgebaseerd samenwerkingsplatform dat integreert met Microsoft Office, en ze bevatten Microsoft-branding.

De nepdocumenten zijn zogenaamd personeelsrapporten, ‘prijsboekwijzigingen’, bevatten informatie over bonussen, enzovoort. Maar als u op de link klikt, worden gebruikers naar een phishing-pagina met Office 365-thema geleid.

“De e-mails bevatten twee URL’s met misvormde HTTP-headers. De primaire phishing-URL is een Google-opslagbron die verwijst naar een AppSpot-domein waarbij de gebruiker moet inloggen voordat hij uiteindelijk een ander Google User Content-domein met een Office 365-phishing-pagina bedient”, merkte Microsoft op.

“De tweede URL bevindt zich binnen de meldingsinstellingen en leidt naar een gecompromitteerde SharePoint-site die de aanvallers gebruiken om legitimiteit aan de aanval toe te voegen. Beide URL’s vereisen inloggen om door te gaan naar de laatste pagina, waarbij veel sandboxen worden omzeild.’

Het gebruik van de phishing-pagina’s van de cloudinfrastructuurhost van Google en Microsoft is slechts een van de manieren waarop phishers gateways en e-mailbeveiligingsoplossingen proberen te omzeilen. Deze campagne gebruikt blijkbaar andere trucs, maar Microsoft heeft niet gespecificeerd welke.

Het bedrijf heeft een geavanceerde jachtquery gedeeld die verdedigers kunnen gebruiken om te voorkomen dat de e-mails worden afgeleverd.

Bron: helpnetsecurity