EvilProxy フィッシングキャンペーンが Microsoft 365 ユーザーを標的にし、経営幹部を集中的に狙う

公開された証拠がインターネットインフラストラクチャ、ガバナンス、運用依存関係、または市場での可視性に関連付けているため、BTW メディアは「EvilProxy Phishing Campaign Targets Microsoft 365 Users, Focuses on C-Level Executives」をプロファイルしています。

経営幹部を標的としたフィッシングキャンペーン。この高度な脅威はしばらく前から存在し、再び被害者を増やしています。その仕組みをご覧ください。

EvilProxy フィッシングキャンペーンが Microsoft 365 ユーザーを標的にし、経営幹部を集中的に狙う

EvilProxy フィッシングプラットフォームは、MFA で保護されたアカウントを狙って成功を収め、サイバーセキュリティ専門家の懸念を引き起こす強力な脅威となっています。12 万通以上のフィッシングメールが 100 以上の組織に送信され、Microsoft 365 アカウントの侵害が試みられました。

経営幹部が標的に

クラウドアカウントの乗っ取り成功率の増加傾向は、特に上級管理職に影響を及ぼしています。EvilProxy のキャンペーンは、ブランド偽装、ボット検出回避戦術、オープンリダイレクトの使用を組み合わせています。

EvilProxy は、Phishing-as-a-Service（PHaaS）モデルを採用し、リバースプロキシを使用して認証要求とユーザー資格情報を操作します。悪意のあるサーバーが正規のログインフォームを傍受し、ユーザーのログイン時に認証 Cookie を盗みます。さらに、ユーザーが既に MFA チャレンジをクリアしているため、盗まれた Cookie により攻撃者は多要素認証を回避できます。

長年の問題

EvilProxy の能力は、2022 年 9 月の Resecurity のレポートで明らかにされました。同レポートによると、月額 400 ドルでサイバー犯罪者に提供され、Apple、Google、Facebook、Microsoft、Twitter、GitHub、GoDaddy、PyPI などの重要なアカウントへのアクセスが約束されていました。

EvilProxy は、Adobe、DocuSign、Concur などの有名ブランドを模倣したメールの送信に悪用されました。被害者が埋め込まれたリンクを操作すると、YouTube や SlickDeals などのプラットフォームを経由する複雑なオープンリダイレクトの経路をたどります。この経路は検出の可能性を最小限に抑えるように設計されています。

最終的に、被害者は EvilProxy が運営するフィッシングページにたどり着きます。このページは Microsoft 365 のログインインターフェースを巧みに再現し、多くの場合、被害者の組織のテーマを組み込んで本物らしく見せかけます。

自動スキャンツールを回避するために、攻撃者はユーザーのメールアドレスをエンコードし、侵害された正規の Web サイトを悪用してメールアドレスをデコードします。

興味深いことに、このキャンペーンはトルコの IP アドレスを標的にする傾向を示しており、トルコに拠点がある可能性が示唆されます。さらに、攻撃者はアカウント乗っ取り段階で標的を選別し、「VIP」を優先する一方で、下位レベルの人物は無視しました。侵害されたアカウントのうち、39％が経営幹部、9％が CEO および副社長、17％が最高財務責任者（CFO）のものでした。

ハードウェアベースのセキュリティが必要になる可能性

Microsoft 365 アカウントに侵入すると、悪意のある攻撃者は独自の多要素認証方法を導入して永続性を確保します。EvilProxy が代表例であるリバースプロキシフィッシングキットの台頭は、増大する課題です。これらの脅威は、大規模で高品質なフィッシングキャンペーンを実行し、セキュリティプロトコルを侵害する可能性があります。

EvilProxy への対策としては、セキュリティ意識の向上、厳格なメールフィルタリングルール、FIDO ベースの物理キーの採用が挙げられます。

アカウントをさらに強化するには、ハードウェアセキュリティキーの採用が推奨される戦略です。このアプローチは、最近 Discord で採用され、絶えず進化するフィッシング戦術に対する強固な防御メカニズムの重要性を強調しています。EvilProxy フィッシングキャンペーンが Microsoft 365 ユーザーを標的にし、経営幹部を集中的に狙う