🌟 Atualização imperdível para quem gosta de estar bem informado!
Leia, comente e fique sempre atualizado!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Os hackers estão alterando as configurações de DNS em dispositivos Wi-Fi em hotéis e centros de conferências para redirecionar os usuários para páginas falsas de login do Microsoft 365.
A campanha está em curso pelo menos desde junho e tem impacto em organizações de vários setores, incluindo serviços financeiros, serviços profissionais, jurídico, cuidados de saúde, energia e retalho.
A empresa de segurança cibernética ReliaQuest identificou gateways Wi-Fi comprometidos em várias cidades dos EUA, bem como em outras regiões do mundo, como Índia e Arábia Saudita.
Como os dispositivos atendem a eventos corporativos, o sequestro de contas do Microsoft 365 pode dar aos invasores acesso a informações comerciais confidenciais, comunicações e documentos privados.
“Observamos o tráfego para esses gateways comprometidos de organizações de vários setores, incluindo serviços financeiros, serviços profissionais, jurídico, saúde, energia e varejo – confirmando que este não é um direcionamento específico do setor, mas uma campanha que provavelmente vai atrás de funcionários em viagem onde quer que eles se conectem”, diz ReliaQuest.
Os pesquisadores acreditam que esta atividade é semelhante às campanhas baseadas no roteador FrostArmada atribuídas ao grupo de espionagem russo APT28 (também conhecido como Fancy Bear, Forest Blizzard).
Cadeia de ataque
Não está claro como o acesso inicial aos dispositivos Wi-Fi foi obtido, mas ReliaQuest diz que o ator da ameaça poderia ter explorado interfaces de gerenciamento expostas e pouco protegidas (por exemplo, SSH, SNMP, painéis de administração da web) ou vulnerabilidades.
Depois que o invasor obtiver acesso de administrador, ele poderá modificar as configurações de DNS do gateway para redirecionar as conexões de domínios legítimos para a infraestrutura sob o controle do invasor.
ReliaQuest diz que o invasor registrou pelo menos quatro domínios para configurar portais de login falsos da Microsoft: m365-owa[.]com, owa-ms365[.]com, ms365-device[.]com e ms365-live[.]com.
Com as configurações de DNS alteradas, os usuários que tentassem acessar portais de login legítimos da Microsoft iriam parar nas páginas de phishing do hacker e inserir suas credenciais.
Em alguns casos, os pesquisadores observaram um fluxo de autenticação de código de dispositivo no qual os alvos eram redirecionados para uma página falsa da Microsoft com um prompt.
“O que o usuário não consegue ver é que a aprovação do prompt autoriza uma sessão iniciada pelo invasor”, diz ReliaQuest. Os pesquisadores observam que autorizar a solicitação iniciada pelo invasor faz com que um token OAuth legítimo seja emitido para o cliente do invasor.
Isso ignora a proteção da autenticação multifator (MFA) sem roubar credenciais ou interceptar tokens de acesso.
As etapas do ataqueFonte: ReliaQuest
Em aproximadamente um terço dos casos investigados, os invasores também tentaram abusar do Web Proxy Auto-Discovery (WPAD), respondendo à pesquisa automática do WPAD do Windows com um arquivo malicioso de configuração automática de proxy (PAC).
Teoricamente, isso encaminharia o tráfego de aplicativos do Windows, incluindo o Chrome, por meio de um proxy controlado pelo invasor, mas a ReliaQuest não conseguiu confirmar se esses ataques foram bem-sucedidos.
Os pesquisadores também enfatizaram que o uso de servidores DNS públicos, como o 8.8.8.8 do Google, não impede esse ataque, pois o gateway forja as solicitações de texto simples antes que elas cheguem ao resolvedor pretendido.
A ReliaQuest recomenda o uso de uma VPN de túnel completo sempre ativa e DNS criptografado em modo estrito como medidas de proteção sólidas contra esses ataques.
Além disso, a empresa de segurança cibernética recomenda desativar o WPAD, revisar os registros de atividades suspeitas e desativar o fluxo de autenticação do código do dispositivo no Microsoft Entra ID quando não for necessário.
Teste todas as camadas antes que os invasores o façam
As equipes de segurança registram 54% dos ataques bem-sucedidos e alertam sobre apenas 14%. O restante se move pelo seu ambiente sem ser visto. O whitepaper do Picus mostra como a simulação de violação e ataque testa suas regras de SIEM e EDR para que as ameaças parem de escapar da detecção.
Obtenha o white paper
A campanha está em curso pelo menos desde junho e tem impacto em organizações de vários setores, incluindo serviços financeiros, serviços profissionais, jurídico, cuidados de saúde, energia e retalho.
A empresa de segurança cibernética ReliaQuest identificou gateways Wi-Fi comprometidos em várias cidades dos EUA, bem como em outras regiões do mundo, como Índia e Arábia Saudita.
Como os dispositivos atendem a eventos corporativos, o sequestro de contas do Microsoft 365 pode dar aos invasores acesso a informações comerciais confidenciais, comunicações e documentos privados.
“Observamos o tráfego para esses gateways comprometidos de organizações de vários setores, incluindo serviços financeiros, serviços profissionais, jurídico, saúde, energia e varejo – confirmando que este não é um direcionamento específico do setor, mas uma campanha que provavelmente vai atrás de funcionários em viagem onde quer que eles se conectem”, diz ReliaQuest.
Os pesquisadores acreditam que esta atividade é semelhante às campanhas baseadas no roteador FrostArmada atribuídas ao grupo de espionagem russo APT28 (também conhecido como Fancy Bear, Forest Blizzard).
Cadeia de ataque
Não está claro como o acesso inicial aos dispositivos Wi-Fi foi obtido, mas ReliaQuest diz que o ator da ameaça poderia ter explorado interfaces de gerenciamento expostas e pouco protegidas (por exemplo, SSH, SNMP, painéis de administração da web) ou vulnerabilidades.
Depois que o invasor obtiver acesso de administrador, ele poderá modificar as configurações de DNS do gateway para redirecionar as conexões de domínios legítimos para a infraestrutura sob o controle do invasor.
ReliaQuest diz que o invasor registrou pelo menos quatro domínios para configurar portais de login falsos da Microsoft: m365-owa[.]com, owa-ms365[.]com, ms365-device[.]com e ms365-live[.]com.
Com as configurações de DNS alteradas, os usuários que tentassem acessar portais de login legítimos da Microsoft iriam parar nas páginas de phishing do hacker e inserir suas credenciais.
Em alguns casos, os pesquisadores observaram um fluxo de autenticação de código de dispositivo no qual os alvos eram redirecionados para uma página falsa da Microsoft com um prompt.
“O que o usuário não consegue ver é que a aprovação do prompt autoriza uma sessão iniciada pelo invasor”, diz ReliaQuest. Os pesquisadores observam que autorizar a solicitação iniciada pelo invasor faz com que um token OAuth legítimo seja emitido para o cliente do invasor.
Isso ignora a proteção da autenticação multifator (MFA) sem roubar credenciais ou interceptar tokens de acesso.
As etapas do ataqueFonte: ReliaQuest
Em aproximadamente um terço dos casos investigados, os invasores também tentaram abusar do Web Proxy Auto-Discovery (WPAD), respondendo à pesquisa automática do WPAD do Windows com um arquivo malicioso de configuração automática de proxy (PAC).
Teoricamente, isso encaminharia o tráfego de aplicativos do Windows, incluindo o Chrome, por meio de um proxy controlado pelo invasor, mas a ReliaQuest não conseguiu confirmar se esses ataques foram bem-sucedidos.
Os pesquisadores também enfatizaram que o uso de servidores DNS públicos, como o 8.8.8.8 do Google, não impede esse ataque, pois o gateway forja as solicitações de texto simples antes que elas cheguem ao resolvedor pretendido.
A ReliaQuest recomenda o uso de uma VPN de túnel completo sempre ativa e DNS criptografado em modo estrito como medidas de proteção sólidas contra esses ataques.
Além disso, a empresa de segurança cibernética recomenda desativar o WPAD, revisar os registros de atividades suspeitas e desativar o fluxo de autenticação do código do dispositivo no Microsoft Entra ID quando não for necessário.
Teste todas as camadas antes que os invasores o façam
As equipes de segurança registram 54% dos ataques bem-sucedidos e alertam sobre apenas 14%. O restante se move pelo seu ambiente sem ser visto. O whitepaper do Picus mostra como a simulação de violação e ataque testa suas regras de SIEM e EDR para que as ameaças parem de escapar da detecção.
Obtenha o white paper
#samirnews #samir #news #boletimtec #hackers #sequestram #dns #wifi #de #hotel #para #roubar #contas #do #microsoft #365
⚡ Fique ligado: novidades e promoções em breve por aqui! ⚡
Postar um comentário