Gli attaccanti hanno compromesso 97 account Microsoft 365 in 79 organizzazioni riproducendo token di accesso rubati, secondo i risultati di Huntress descritti in The Hacker News. La campagna ha previsto anche la registrazione di 48 dispositivi Microsoft Entra non autorizzati, che hanno offerto agli attaccanti un altro modo per mantenere l'accesso.
Huntress ha osservato l'attività tra il 14 luglio e il 22 settembre 2026. I ricercatori hanno individuato 497 eventi di accesso riusciti a Microsoft 365 e hanno ricondotto oltre 200.000 tentativi di accesso falliti al range IP 193.26.115[.]0/24. Gli eventi di accesso riusciti indicano attività ripetute, non il numero di account compromessi distinti.
I token rubati aggiravano la MFA
La campagna ha utilizzato pagine di phishing di tipo adversary-in-the-middle, posizionate tra le vittime e l'infrastruttura di accesso legittima di Microsoft. Queste pagine raccoglievano credenziali e codici di autenticazione a più fattori, trasmettendoli a Microsoft per completare l'autenticazione.
Gli attaccanti catturavano poi il token emesso dopo l'accesso e lo riproducevano dai propri dispositivi nel giro di pochi minuti. Poiché il token rappresentava una sessione già autenticata, gli attaccanti potevano usarlo senza completare di nuovo la verifica MFA della vittima.
Huntress ha definito l'approccio «token spraying»: il replay di molti token rubati in più organizzazioni su larga scala, secondo uno schema paragonabile al password spraying. I ricercatori hanno spiegato che i token provenivano da diverse fonti, tra cui relay di phishing, phishing con codice di dispositivo e ingegneria sociale durante processi di accesso legittimi.
Gli attaccanti aggiungono modi per mantenere l'accesso
Dopo aver ottenuto l'accesso, gli attaccanti registravano le proprie app di autenticazione, così da poter completare le verifiche MFA nei successivi accessi, anche dopo che una sessione rubata era scaduta o era stata revocata.
In almeno 19 organizzazioni, i metodi MFA esistenti sono stati rimossi e un sostitutivo è stato registrato entro tre ore dal primo accesso. In un caso osservato il 21 luglio, un attaccante ha attivato un'app di autenticazione chiamata «iPhone 13» meno di 51 minuti dopo aver dirottato la sessione.
Le registrazioni di dispositivi non autorizzati costituivano un altro meccanismo di persistenza. Secondo Huntress, un dispositivo registrato può offrire un modo più duraturo per richiedere token rispetto alla sola sessione rubata, e resta nella directory dell'organizzazione finché non viene eliminato.
Gli attaccanti hanno inoltre creato regole di posta nascoste con nomi poco evidenti, come «sss», «iT» e «........». Queste regole eliminavano i messaggi in arrivo contenenti termini legati a buste paga, depositi e bonus, oppure li spostavano in cartelle come «RSS Feeds» e «Conversation History».
In una casella compromessa, una regola segnava come letto ogni messaggio in arrivo e lo eliminava. L'account ha poi inviato spam a centinaia di destinatari esterni, prima che Microsoft Entra ID Protection lo classificasse ad alto rischio.
Il ripristino include la verifica delle modifiche agli account
Alle organizzazioni che sospettano un replay di token, Huntress raccomandava di revocare le sessioni e reimpostare le password, insieme alla verifica dei dispositivi Entra e alla revisione dei metodi MFA registrati. Le indicazioni riguardavano anche il controllo di regole di posta inattese o di nuove applicazioni aziendali, e la limitazione dei flussi con codice di dispositivo tramite criteri di Accesso condizionale.
Questi controlli riguardano le modifiche apportate dagli attaccanti dopo aver ottenuto l'accesso: la sessione rubata era solo una parte dell'intrusione, mentre i metodi di autenticazione aggiunti, i dispositivi registrati e le regole della casella potevano restare attivi.
