微软揭露多阶段 AiTM 网络钓鱼和 BEC 攻击

图 3：从 AiTM 钓鱼攻击到 BEC 的攻击链

阶段 1：通过受信任的供应商妥协邮件进行初始访问

攻击始于一封来自目标组织受信任供应商之一的网络钓鱼电子邮件。钓鱼邮件以七位数的代码作为主题发送。此代码对于每个目标组织都是唯一的，这可能是攻击者的跟踪机制。电子邮件正文包含查看或下载传真文档的链接。该链接指向托管在canva[.]com上的恶意 URL 。

从受信任的供应商发送网络钓鱼电子邮件是针对该威胁参与者在多个目标组织中观察到的常见行为之一。此行为的目的是滥用受信任的供应商关系并混入合法的电子邮件流量。一些目标组织制定了自动允许来自受信任供应商的电子邮件的策略，从而使攻击者能够绕过检测。

阶段 2：恶意 URL 

威胁行为者经常滥用合法服务和品牌以避免被发现。在这种情况下，我们观察到攻击者利用合法服务 Canva 进行网络钓鱼活动。Canva 是一个图形设计平台，允许用户创建社交媒体图形、演示文稿、海报和其他视觉内容。攻击者滥用 Canva 平台托管一个页面，该页面显示虚假的 OneDrive 文档预览并链接到一个网络钓鱼 URL 的链接：

图 4：通往 AiTM 登陆页面的中间页面截图

阶段 3：AiTM 攻击

访问该 URL 会将用户重定向到托管在腾讯云平台上的钓鱼页面，该页面伪装了 Microsoft 登录页面。每个用户的最终 URL 都不同，但显示相同的欺骗性登录页面。

图 5：请求目标密码的虚假 Microsoft 登录页面

目标在网络钓鱼页面上提供密码后，攻击者随后在目标网站上创建的身份验证会话中使用凭据。当攻击者在身份验证会话中收到 MFA 提示时，攻击者将钓鱼页面修改为伪造的 MFA 页面（如下所示）。一旦目标完成多因素身份验证，会话令牌就会被攻击者捕获。

图 6：请求验证码的虚假 Microsoft MFA 页面

AiTM 攻击的网络钓鱼页面托管在位于印度尼西亚的 IP 地址上。还从相同的 IP 地址观察到以下部分中描述的后续登录。

阶段 4：会话 cookie 重放

在被盗会话 cookie 重放攻击中，攻击者使用有效的被盗 cookie 来冒充用户，绕过密码和 MFA 的身份验证机制。在此活动中，我们观察到攻击者在几个小时后从位于美国的 IP 地址使用窃取的 cookie 登录。攻击者通过会话重播攻击伪装目标，并访问了云端存储的电子邮件对话和文档。此外，攻击者生成了一个新的访问令牌，使他们能够在环境中持续更长时间。

阶段 5：MFA 方法修改

攻击者随后继续为目标帐户添加一种新的 MFA 方法，即通过基于电话的一次性密码 (OTP)，以便使用未被发现的用户被盗凭据登录。默认情况下，添加新的 MFA 方法不需要重新验证。在此活动中，观察到的一个常见行为是，除了目标使用的现有方法之外，攻击者还添加了 OneWaySMS（一种基于电话的 OTP 服务）作为新的 MFA 方法。一个带有伊朗国家代码的电话号码被发现是用于接收基于电话的 OTP 的号码。

图 7：来自云应用程序活动日志的 MFA 配置更改

阶段 6：收件箱规则创建

之后攻击者使用新的会话令牌登录并创建了一个收件箱规则，其参数将用户邮箱中的所有传入电子邮件移动到存档文件夹并将所有电子邮件标记为已读。

图 8：收件箱规则创建

阶段 7：网络钓鱼活动

在创建收件箱规则之后，攻击者发起了一场大规模的网络钓鱼活动，涉及超过 16,000 封电子邮件，并略微修改了 Canva URL。电子邮件被发送给受感染用户在组织内外的联系人以及通讯组列表的联系人。收件人是根据受感染用户收件箱中最近的电子邮件线程来识别的。电子邮件的主题包含一个唯一的七位数代码，这可能是攻击者跟踪组织和电子邮件链的一种策略。

阶段 8：BEC战术

然后，攻击者监视受害用户的邮箱以查找未送达和不在办公室的电子邮件，并将它们从存档文件夹中删除。攻击者阅读了收件人的电子邮件，对收件人提出了关于网络钓鱼电子邮件真实性的问题并进行了回复，诱导收件人错误地确认电子邮件是合法的。然后从邮箱中删除了电子邮件和回复。这些技术在任何 BEC 攻击中都很常见，旨在让受害者不知道攻击者的操作，从而有助于持久性。

阶段 9：帐户泄露

单击恶意 URL 的组织内部网络钓鱼电子邮件的收件人也成为另一次 AiTM 攻击的目标。Microsoft Defender 专家根据登录 IP 和登录 IP 模式识别所有受感染的用户。 

阶段 10：第二阶段BEC

据观察，攻击者从其中一名受到第二次 AiTM 攻击的用户的邮箱发起了另一场网络钓鱼活动。Microsoft 撤销了受感染用户的会话 cookie，干预了第二阶段的攻击。