Nelle ultime settimane il nostro SOC ha osservato un incremento significativo di attacchi di phishing andati a segno nel mercato italiano, caratterizzati da un pattern ricorrente che sfrutta i meccanismi di autenticazione Microsoft 365 e la distribuzione di applicazioni malevole.
Questa campagna è progettata per ottenere accesso persistente ai dati sensibili degli utenti e replicare autonomamente la catena di infezione tramite ulteriori inoltri e nuove compromissioni.
Analisi della campagna da parte del SOC Cyberlys
Le attività di monitoraggio hanno permesso di ricostruire la dinamica tipica della campagna, evidenziando un uso sistematico di domini e applicazioni malevole integrate nei flussi di autenticazione Microsoft 365. Di seguito vengono descritti i passaggi principali, dalla fase di adescamento iniziale fino al consolidamento dell’accesso all’interno del tenant.
Tecniche di adescamento
Le analisi delle kill chain mostrano uno schema costante. Tutto inizia con l’invio di una falsa comunicazione “Microsoft OneDrive Secure Cloud” che segnala la disponibilità di un file protetto. Il link presente nell’email punta sistematicamente a domini del tipo: *.reflector.dom.de o *.reflector.de.com.
Compromissione tramite app malevola
A seguito del clic sul link malevolo, alla vittima viene richiesto di autorizzare l’installazione di un’applicazione M365 denominata “prod-mmind” (Figura 4), che presenta un elenco di permessi particolarmente esteso e sensibile (Figura 5).
Queste autorizzazioni consentono all’attaccante di:
- accedere ai dati presenti nella mailbox;
- analizzare e raccogliere informazioni personali e organizzative;
- utilizzare l’account compromesso per inoltrare nuove e-mail malevole verso contatti interni ed esterni, facilitando l’effetto “a catena” tipico delle campagne basate su app abuse.
Valutazione del rischio
Alla luce degli elementi raccolti, il livello di rischio associato a questa campagna deve essere considerato elevato, sia per l’impatto potenziale sui dati, sia per la capacità di propagarsi rapidamente all’interno e all’esterno dell’organizzazione. In particolare, la minaccia risulta critica perché:
- sfrutta meccanismi OAuth e l’installazione di app M365 per ottenere accesso persistente;
- non richiede la compromissione diretta della password una volta ottenuta la delega;
- può generare ulteriori compromissioni interne tramite meccanismi automatici di inoltro o reply;
- può consentire l’esfiltrazione di dati sensibili o contenuti strategici dal tenant.
Azioni proattive raccomandate
Per ridurre la superficie di attacco e limitare la probabilità che campagne analoghe vadano a buon fine, è fondamentale intervenire sia sul piano organizzativo sia su quello tecnologico. Si raccomandano in particolare le seguenti misure:
- Formazione utenti: sensibilizzare gli utenti sulle differenze tra i flussi di autenticazione Microsoft legittimi e le richieste sospette provenienti da servizi pseudo-Microsoft.
- Rafforzare la cultura anti-phishing: utilizzare esempi pratici con focus su domini sospetti, struttura delle e-mail e indicatori di autenticità dei prompt M365.
- Conditional Access: implementare policy di Conditional Access che limitino l’installazione di app e l’accesso alle risorse solo da contesti noti, sicuri e conformi alle policy aziendali.
- Policy sulle app corporate: definire un catalogo di applicazioni M365 autorizzate e impedire l’installazione di applicazioni non verificate.
- Blocco dei domini malevoli: bloccare a livello DNS / firewall / endpoint i seguenti domini:
- *[.]reflector.dom[.]de
- *[.]reflector[.]de[.]com
Azioni di sanificazione post-compromissione
In presenza di compromissione accertata o fortemente sospetta, è necessario attivare tempestivamente un processo di sanificazione strutturato, così da interrompere la catena di attacco e ripristinare un livello di rischio accettabile. I passaggi minimi consigliati sono:
- Reset credenziali e revoca sessioni: effettuare il reset della password dell’utente e procedere con la revoca completa delle sessioni attive, inclusa la revoca dei token MFA (necessaria alla luce dei recenti aggiornamenti Microsoft).
- Rimozione dell’app malevola: ricercare nel tenant l’app “prod-mmind” e qualsiasi altra applicazione installata senza autorizzazione, rimuovendole.
- Revoca delle deleghe: eliminare completamente qualsiasi autorizzazione residua o delega concessa alle app malevole.
Scenario della minaccia e casi osservati
La campagna descritta dimostra un’evoluzione delle tecniche di phishing verso modalità più sofisticate, orientate all’abuso degli ecosistemi cloud e delle deleghe OAuth e Graph.
Solo nelle prime settimane di osservazioni, si sono registrati 40 casi conclamati e provenienti da servizi non gestiti, pertanto, scaturiti dalla pura condivisione di informazioni di comportamenti sospetti o destinatari di altri messaggi di Phishing.
Un approccio integrato, con formazione, controlli proattivi e procedure di sanificazione, è essenziale per contenere la minaccia e prevenire ulteriori compromissioni.
