„Десетки“ организации по целия свят са станали мишена на широка кампания за компрометиране на бизнес електронна поща (BEC), при която са използвани техники на „противник по средата“ (AitM) за извършване на атаките.

„След успешен опит за фишинг хакерът е получил първоначален достъп до акаунта на един от служителите на жертвата и е извършил атака „противник по средата“, за да заобиколи удостоверяването на Office365 и да получи постоянен достъп до този акаунт“, казват изследователите от Sygnia в доклад, споделен с The Hacker News.

„След като получи постоянен достъп,  заплахата ексфилтрира данни от компрометирания акаунт и използва достъпа си, за да разпространи фишинг атаки срещу други служители на жертвата заедно с няколко външни целеви организации.“

Констатациите идват по-малко от седмица, след като Microsoft подробно описа подобна комбинация от AitM фишинг и BEC атака, насочена към организации за банкови и финансови услуги.

BEC измамите обикновено включват подвеждане на мишената чрез електронна поща да изпрати пари или да разкрие поверителна фирмена информация. Освен че персонализира имейлите за набелязаната жертва, нападателят може също така да се представи за доверена личност, за да постигне целите си.

Това от своя страна може да бъде постигнато чрез поемане на контрола върху сметката чрез сложна схема за социално инженерство, след което измамникът изпраща по електронната поща на клиентите или доставчиците на компанията фалшиви фактури, които изискват плащане по измамна банкова сметка.

Във веригата от атаки, документирана от Sygnia, е наблюдавано как нападателят изпраща фишинг имейл, съдържащ връзка към предполагаем „споделен документ“, който в крайна сметка пренасочва жертвата към фишинг страница на AitM, предназначена да събере въведените идентификационни данни и еднократни пароли.

Нещо повече, твърди се, че хакерите са злоупотребили с временния достъп до компрометирания акаунт, за да регистрират ново устройство за многофакторна автентикация (MFA), за да се сдобият с постоянна отдалечена опора от друг IP адрес, разположен в Австралия.

„В допълнение към ексфилтрацията на чувствителни данни от акаунта на жертвата,  заплахата е използвала този достъп, за да изпрати нови фишинг имейли, съдържащи новата злонамерена връзка, на десетки служители на клиента, както и на допълнителни целеви организации“, казват изследователите от Sygnia.

Израелската компания за киберсигурност заяви още, че фишинг имейлите се разпространяват по „червеобразен начин“ от една целева фирма в друга и сред служителите в рамките на същата фирма. Точният мащаб на кампанията засега не е известен.