Kaspersky meldt dat het tussen 1 augustus en 18 september meer dan 31.000 e-mails heeft geblokkeerd waarin aanvallers echte Microsoft-links gebruikten. De aanvallers misbruiken applicatieregistratie in Microsoft Entra en de herstelfunctie van Microsoft-accounts. Zo sturen ze ontvangers door naar eigen sites of plaatsen ze eigen tekst in legitieme Microsoft-meldingen.
Volgens Kaspersky zijn de berichten niet verstuurd vanaf een nagemaakt afzenderadres. De aanvallers gebruiken het inlogmechanisme van Microsoft zelf, wat de mails volgens het beveiligingsbedrijf lastiger te herkennen maakt. Eerder dit jaar rapporteerde Kaspersky al een phishingcampagne waarin dezelfde techniek werd ingezet. In de huidige golf gebruiken de aanvallers een ander lokmiddel. De e-mails zijn opgemaakt als officiële Microsoft-berichten en vragen ontvangers via een link hun accountgegevens bij te werken of elektronische documenten te ondertekenen.
Doorverwijzing via applicatieregistratie
Kaspersky beschrijft dat de aanvallers eerst een Microsoft-account aanmaken en inloggen op het Microsoft Entra admin center. In het onderdeel voor applicatieregistratie registreren ze een nieuwe applicatie. Daarbij kun je een redirect-URI opgeven: het adres waarnaar de authenticatieserver van Microsoft Entra de gebruiker stuurt na een geslaagde autorisatie. De aanvallers vullen hier de URL van hun eigen site in.
Vervolgens versturen ze e-mails met Microsoft-links die het applicatie-ID van de geregistreerde app en de ingestelde redirect-URI bevatten. Wie op zo’n link klikt, wordt doorgestuurd naar een site die persoonlijke gegevens probeert te stelen of malware installeert.
Eigen tekst in legitieme meldingen
Via hetzelfde beheercentrum vonden de aanvallers volgens Kaspersky ook een manier om eigen tekst te plaatsen in echte meldingen van Microsoft. Het bedrijf vermoedt dat ze daarvoor de goedkoopste licentie aanschaffen of een proefperiode starten.
De aanvallers zetten een nepbericht in het naamveld op de overzichtspagina en maken in het onderdeel Gebruikers fictieve accounts aan met verzonnen e-mailadressen, weergavenamen en wachtwoorden. Met de gegevens van zo’n fictieve gebruiker loggen ze in op het Microsoft My Account-portaal. Daar stellen ze het echte e-mailadres van het beoogde slachtoffer in als back-upmailbox. Dat is het adres dat Microsoft gebruikt voor berichten over wachtwoordherstel.
Het slachtoffer ontvangt daardoor een ongevraagde verificatiecode in een legitieme e-mail van Microsoft. In het onderwerp en de handtekening van die mail staat de tekst die de aanvallers hebben ingevoerd.
Officiële diensten als dekmantel
Andrey Kovtun, manager van de Email Threats Protection Group bij Kaspersky, geeft aan dat het niet de eerste keer is dat frauduleuze links en berichten via officiële diensten worden verspreid in plaats van namens een nagebootst bedrijf. Volgens Kovtun maakt dat de berichten geloofwaardiger, omdat de gebruikelijke kenmerken waaraan je phishing herkent hier minder goed werken. Hij adviseert gebruikers beveiligingssoftware met een antiphishingfunctie in te zetten.
Kaspersky noemt zelf Security for Mail Server voor bedrijven en Kaspersky Premium voor particulieren als beschermingsopties tegen dit type aanvallen.
