Onderzoekers van beveiligingsbedrijf Push Security hebben een phishingcampagne in kaart gebracht die nagemaakte registratiepagina’s voor evenementen van OpenAI, SpaceX en Anthropic gebruikt. De aanvallers richten zich op zakelijke Microsoft- en Google-accounts en lokken werknemers met beloningen zoals gratis abonnementen op ChatGPT Pro of Grok Heavy.
Push Security beschrijft de werkwijze van de aanvallers in een analyse van de campagne met AI-gerelateerde nepevenementen. Volgens de onderzoekers ontvangen slachtoffers een uitnodiging per e-mail met verkorte links die via redirects op vertrouwde domeinen van onder meer Google, Zapier en X lopen. Zo proberen de aanvallers filters te omzeilen die op verdachte domeinen controleren.
Wie op de link klikt, komt volgens Push Security eerst terecht op een nagemaakte Cloudflare-controlepagina. Die pagina houdt geautomatiseerde beveiligingsscanners tegen, waardoor de eigenlijke phishingpagina buiten het zicht blijft van tools die URL’s analyseren. Pas daarna krijgt de bezoeker de vervalste evenementenpagina te zien, die qua ontwerp lijkt op de officiële pagina’s van de betreffende bedrijven.
Inloggen met het werkaccount
Op de neppagina’s wordt de bezoeker gevraagd in te loggen met zijn werkaccount om een livestream te bekijken of een beloning te claimen. De onderzoekers geven aan dat de werking van de inlogknoppen afhangt van het gekozen platform.
Kiest een gebruiker voor ‘Continue with Microsoft’, dan toont het phishingplatform Kali365 een code die op de officiële device login-pagina van Microsoft moet worden ingevoerd. Zodra de gebruiker de code goedkeurt, krijgen de aanvallers toegang tot het account. Daarna wordt het slachtoffer doorgestuurd naar een tweede neppagina, die via VoidProxy ook het wachtwoord en de sessiecookie buitmaakt.
De knop ‘Continue with Google’ opent een pop-upvenster dat draait op VoidProxy. Dit platform werkt als adversary-in-the-middle (AiTM) reverse proxy. Het geeft het echte inlogproces van Google door aan de gebruiker en onderschept tegelijkertijd het wachtwoord, de code voor meervoudige authenticatie (MFA) en de sessietokens. Met die tokens kan een aanvaller een sessie overnemen zonder opnieuw de MFA-stap te doorlopen.
Eén operator achter meerdere kits
Push Security meldt dat de kits voor de landingspagina’s, door de onderzoekers ZoomMock en MSDRoot genoemd, afkomstig zijn van dezelfde operator. Die huurt Kali365 en VoidProxy als dienst af om MFA te omzeilen. De aanvaller hoeft de techniek voor het onderscheppen van inloggegevens dus niet zelf te ontwikkelen.
Volgens de onderzoekers wisselen de aanvallers in hoog tempo van domeinen en merkthema’s en maken ze gebruik van legitieme cloudinfrastructuur. Push Security stelt dat zwarte lijsten en URL-filters daardoor vaak tekortschieten. Het bedrijf, dat zelf beveiliging op browserniveau levert, pleit voor detectie in de browser die het gedrag van een pagina tijdens het laden analyseert.
Aandachtspunten voor beheerders
De campagne combineert twee technieken die beide gericht zijn op het omzeilen van MFA: misbruik van de device code flow bij Microsoft en het onderscheppen van sessietokens via een reverse proxy. Voor beheerders van Microsoft 365-omgevingen is het daarom zinvol om na te gaan of de device code flow binnen de organisatie nodig is. Via Conditional Access kun je deze authenticatiemethode beperken of blokkeren. Phishingbestendige vormen van MFA, zoals FIDO2-sleutels en passkeys, zijn gekoppeld aan het domein waarop ze zijn geregistreerd en werken daardoor niet via een AiTM-proxy.
Daarnaast laat de campagne zien dat aanvallers inspelen op de belangstelling voor AI-diensten. Beloningen zoals gratis abonnementen op ChatGPT Pro of Grok Heavy zijn een herkenbaar patroon dat je kunt meenemen in bewustwordingstrainingen voor medewerkers.
Het volledige rapport is te lezen via analyse van de campagne met AI-gerelateerde nepevenementen.
