ANY.RUN beschreibt Kali365 als ein Device-Code-Phishing-Kit, das gezielt legitime Microsoft-Authentifizierung missbraucht. Der Angriff folgt laut der Analyse drei Schritten: Zunächst wird das Opfer auf eine Seite gelockt, die einen vertrauten Geschäftsdienst wie SharePoint, OneDrive oder DocuSign nachahmt. Anschließend leitet die Seite zur legitimen Geräte-Anmeldeseite von Microsoft weiter und fordert zur Eingabe eines von den Angreifern kontrollierten Codes auf. Nach erfolgreicher Anmeldung können die Angreifer Zugriffstoken und Aktualisierungstoken erhalten.
Der entscheidende Punkt ist aus Sicht von ANY.RUN, dass die verdächtige Aktivität nicht in einer gefälschten Microsoft-Anmeldemaske steckt, sondern in der Manipulation des legitimen Anmeldeflusses. Dadurch kann die Aktivität zunächst unauffällig erscheinen. Die eigentlichen Warnsignale liegen laut dem Unternehmen häufig früher in der Kette: in der Köderseite, in Weiterleitungen, im Browser-Verhalten, in Skripten und in der von den Angreifern kontrollierten Infrastruktur.
Eine von ANY.RUN beobachtete Sandbox-Sitzung zeigt demnach einen SharePoint-Köder, der das Opfer in genau diesen Authentifizierungsablauf zieht. Die Telemetrie des Anbieters verzeichnet nach eigenen Angaben wöchentlich mehr als 80 öffentliche Sitzungen mit Bezug zu der Kampagne. Als Hauptzielregion nennt ANY.RUN die USA.
Die Folgen eines einzelnen bestätigten Gerätecode-Vorgangs können laut Quelltext über ein kompromittiertes Konto hinausreichen. Mit den ausgegebenen Token ist fortgesetzter Zugriff auf Microsoft-365-E-Mails, Dokumente und Cloud-Ressourcen möglich. Im Text werden als mögliche Folgen Datenoffenlegung, Finanzbetrug, Betriebsstörungen und aufwendige Incident-Response-Maßnahmen genannt.
ANY.RUN betont außerdem, dass sich Kali365 nicht allein durch E-Mail-Filterung eindämmen lasse. Die Betreiber der Kampagne könnten Domains, URLs und Hosting-Infrastruktur laufend austauschen. Indikatoren aus einem bereits bestätigten Fall könnten deshalb rasch veralten und Lücken im restlichen Umfeld hinterlassen. Frische Phishing-Indikatoren sollten nach Darstellung des Unternehmens in SIEM-, SOAR- und TIP-Systeme, Firewalls und weitere Sicherheitskontrollen eingespeist werden, um Anreicherung von Warnmeldungen, rückwirkende Suchen und Sperrentscheidungen zu unterstützen.
Die Threat-Intelligence-Feeds von ANY.RUN stellen neu beobachtete Indikatoren laut Anbieter über STIX/TAXII, API und SDK bereit. Die zugrunde liegenden Daten stammen demnach aus Sandbox-Untersuchungen, die von mehr als 15.000 Organisationen und 600.000 Sicherheitsfachleuten weltweit eingereicht wurden. Jeder Indikator sei mit der Sitzung verknüpft, in der er beobachtet wurde, um die Überprüfung der Bedrohung und die Identifikation verwandter Kali365-Infrastruktur zu erleichtern.
Für die Auswertung laufender Aktivitäten verweist ANY.RUN auf den Dienst Threat Intelligence Lookup. Für auf die USA ausgerichtete Aktivitäten nennt der Anbieter die Abfrage threatName:“kali365” AND submissionCountry:“US”. Die Ergebnisse zeigen laut Text Kali365-Aktivität in den Bereichen Fertigung, Technologie, Gesundheitswesen, Regierung, Beratung und bei MSSPs. Ergänzend erstellt ANY.RUN manuell gepflegte Threat Intelligence Reports zu aktiven Malware- und Phishing-Kampagnen, einschließlich APTs und Gruppen aus dem Bereich Cyberkriminalität.