Greatness ist nach Angaben von ZeroBEC mindestens seit Mitte 2022 aktiv und richtet sich gegen Microsoft-365-Nutzer in den USA, Kanada, Großbritannien, Australien und Südafrika. Über die Jahre habe sich die Plattform weiterentwickelt und greife inzwischen mehrere Dienste an, darunter Microsoft 365, iCloud, Yahoo und Google Workspace. Der Dienst werde derzeit über einen Telegram-Kanal mit tausenden Abonnenten für 289 US-Dollar pro Monat an Cyberkriminelle verkauft.
Im Zentrum der jüngsten Kampagne stand der Missbrauch des RingCentral-Auftritts. RingCentral ist eine von Unternehmen genutzte Kommunikationsplattform für Dienste wie Cloud-Telefonie, Messaging und Voicemail. Die Angreifer behaupteten in ihren E-Mails, diese stammten von service@ringcentral[.]com, und zielten dabei auf echte Nutzer des Dienstes. Zusätzlich enthielten die Nachrichten ein gefälschtes Banner mit der Behauptung, der Absender sei durch die Liste sicherer Absender der Organisation verifiziert worden, was laut ZeroBEC das Misstrauen auf menschlicher Ebene senkte.
Technisch auffällig war, dass die Mails trotz fehlgeschlagener Authentifizierungsprüfungen zugestellt wurden. Wie ZeroBEC erklärt, führte die Positivlistung von RingCentral dazu, dass Microsoft Exchange die Nachrichten mit einem Spam-Vertrauenswert von minus 1 einstufte. Damit passierten sie die normalen Filterstufen für eingehende E-Mails.
Nach der Interaktion mit der Mail landeten Betroffene auf der Infrastruktur von Greatness. Dort wurden sie entweder durch einen Microsoft-Adversary-in-the-Middle-Ablauf geführt, der ein per MFA bestätigtes Authentifizierungstoken erfasste, oder durch einen Device-Code-Phishing-Ablauf. Nach einer Kompromittierung spielten die Angreifer Microsoft-365-Authentifizierungstoken über VPS- und kommerzielle VPN-Infrastruktur erneut ein, um auf die kompromittierten Konten zuzugreifen.
Laut ZeroBEC beschränkte sich der Zugriff nicht auf E-Mails. Die Angreifer durchsuchten über Microsoft Graph Outlook-Postfächer, Teams-Unterhaltungen, SharePoint-Seiten, OneDrive-Dateien, Kontakte, Kalender und registrierte Anwendungen. In manchen Fällen blieb dieser Zugang länger als zwei Wochen bestehen.
ZeroBEC verweist zudem auf einen von RingCentral kürzlich offengelegten Datenschutzvorfall, den der Bedrohungsakteur ShinyHunters für sich beansprucht hatte. Das Unternehmen erklärte in einem Sicherheitsbulletin: „Dieser Vorfall hat Daten eines begrenzten Teils der RingCentral-Kunden betroffen, und wir kommunizieren direkt mit den betroffenen Kunden.“ ZeroBEC hält es für wahrscheinlich, dass Cyberkriminelle, die Greatness nutzen, aus diesem Vorfall eine Liste gültiger Ziele erhalten haben könnten, betont aber zugleich, dass sich ein Zusammenhang nicht mit Sicherheit herstellen lasse.
Als Gegenmaßnahmen empfehlen die Forscher, Listen sicherer Absender zu überprüfen und pauschale Domain-Ausnahmen durch Regeln zu ersetzen, die eine gültige E-Mail-Authentifizierung verlangen. Außerdem sollten Sicherheitsteams nach Greatness-Infrastruktur und verdächtigen, per MFA bestätigten Microsoft-365-Anmeldungen von Hosting- oder VPN-Adressen suchen. Bei Verdacht auf eine Kompromittierung raten die Forscher dazu, sämtliche Zugriffs- und Aktualisierungstoken zu widerrufen und Einwilligungen für OAuth, Microsoft-Graph-Aktivitäten sowie Zugriffe auf Microsoft-365-Dienste zu prüfen.