Analytici ANY.RUN popisují kampaň, která kombinuje krádež přístupů do Microsoft 365 s instalací legitimních nástrojů ScreenConnect a Action1. Nejčastěji míří na cíle v USA.

Analytici služby ANY.RUN popsali kampaň označovanou jako CSuite phishing, která míří na vedoucí pracovníky firem a kombinuje dvě cesty útoku. První vede ke vzdálenému přístupu k zařízení, druhá k přístupu k identitě oběti. Obě se opírají o přesvědčivé návnady postavené na známých službách, konkrétně na Adobe, DocuSign, Zoom, Google Meet, Dropbox a Microsoft 365.

První cesta využívá instalační balíčky nebo dropper skripty BAT či VBS, které na počítač oběti nainstalují legitimní nástroje pro vzdálenou správu, jmenovitě ScreenConnect a Action1. Útočník se pak k zařízení připojí nástrojem, který je v mnoha firmách běžný a bezpečnostní řešení ho často nepovažují za škodlivý. Právě zneužívání legitimního softwaru je důvod, proč je takový útok obtížné odhalit pouhým hledáním známého malwaru.

Druhá cesta cílí na identitu. Útočníci sbírají přihlašovací údaje nebo použijí phishing s kódem zařízení, jehož cílem je krádež přístupu do Microsoft 365 a aktivních relací. Kdo získá aktivní relaci, může se v řadě případů vyhnout i vícefaktorovému ověření, protože se nepřihlašuje znovu, ale převezme už ověřené přihlášení.

Podle analýzy 351 vzorků ze sandboxu patřilo nejvíc případů do USA, 51 procent, následovala Indie s 18 procenty. Aktivita byla zaznamenána také na Filipínách, v Austrálii, ve Velké Británii a v Kanadě. Mezi zasaženými sektory byly technologie, výroba, státní správa a poradenské firmy.