Badacze bezpieczeństwa odkryli nieprawidłowo zabezpieczony serwer, który stał się źródłem cennych informacji na temat działań cyberprzestępców. Urządzenie zawierało dane dotyczące trzech odrębnych operacji phishingowych, wykorzystujących zaawansowane narzędzie Evilginx. Celem ataków byli użytkownicy usług Microsoft 365, a odkrycie to rzuca nowe światło na metody, jakimi posługują się grupy przestępcze w celu przejmowania kont korporacyjnych.
Evilginx to popularny wśród hakerów framework typu „man-in-the-middle”, który pozwala na omijanie zabezpieczeń uwierzytelniania wieloskładnikowego (MFA). W przeciwieństwie do tradycyjnego phishingu, narzędzie to przechwytuje sesję użytkownika w czasie rzeczywistym, co pozwala napastnikom na uzyskanie dostępu do konta bez konieczności łamania hasła czy posiadania fizycznego klucza bezpieczeństwa.
Mechanizm działania przechwyconych operacji
Analiza zawartości serwera wykazała, że przestępcy przygotowali wyrafinowaną infrastrukturę, mającą na celu wyłudzenie danych logowania od pracowników firm korzystających z ekosystemu Microsoft. Zidentyfikowane kampanie opierały się na precyzyjnie przygotowanych stronach logowania, które do złudzenia przypominały oficjalne portale Microsoft 365.
Oto kluczowe elementy, które pozwoliły badaczom zidentyfikować skalę zagrożenia:
Wpływ na bezpieczeństwo użytkowników
Dzięki błędowi w konfiguracji serwera, badacze uzyskali wgląd w to, jak skutecznie przestępcy potrafią maskować swoje działania. Choć w materiale źródłowym nie podano dokładnych kosztów zakupu licencji na narzędzia tego typu, na czarnym rynku ceny za dostęp do zaawansowanych zestawów phishingowych typu Evilginx oscylują często w granicach od 200 do 500 dolarów, co w przeliczeniu daje kwotę rzędu 800–2000 złotych. Niska bariera wejścia sprawia, że tego typu ataki stają się coraz powszechniejsze.
Odkrycie to potwierdza, że nawet najbardziej zaawansowane technicznie kampanie mogą zostać zdemaskowane przez proste błędy w infrastrukturze samych atakujących.
Wykryte operacje pokazują, że głównym celem napastników jest uzyskanie trwałego dostępu do poczty elektronicznej oraz wewnętrznych dokumentów firmowych. Przejęcie sesji użytkownika pozwala hakerom na działanie wewnątrz sieci organizacji, co często prowadzi do dalszych ataków, takich jak ransomware czy kradzież własności intelektualnej. Eksperci przypominają, że kluczową linią obrony pozostaje edukacja użytkowników w zakresie rozpoznawania podejrzanych adresów URL oraz korzystanie z kluczy sprzętowych FIDO2, które są znacznie trudniejsze do obejścia niż standardowe kody SMS czy aplikacje uwierzytelniające.
