Ausgangspunkt der Angriffe sind Phishing-Mails mit Voicemail-Ködern. Sie führen die Empfänger auf AitM-Täuschungsseiten, die den legitimen Authentifizierungsablauf von Microsoft-Konten als Proxy nachbilden und dabei unbemerkt Zugangsdaten sowie MFA-Codes abfangen. Nach Angaben von Arctic Wolf erfolgt dies über eine sechsstufige Weiterleitungskette, die legitime und vertrauenswürdige Dienste wie Google, Google Meet, Google Ads und Amazon S3 einbindet, um reputationsbasierte Filter zu umgehen.
Arctic Wolf beschreibt die Kette so: Sie beginne mit einer Link-Redirect-URL von Google Meet, führe über Googles Infrastruktur für ausgehende Links und lande dann bei einem dynamischen Klick-Tracker des Campaign Manager unter “/ddm/clk”. In den beobachteten Fällen habe das Ziel im Tracker auf ein HTML-Objekt in einem Amazon-AWS-S3-Bucket verwiesen. Diese dort gehostete Seite leite das Opfer anschließend zur AitM-Phishing-Infrastruktur der Kampagne weiter.
Die Phishing-Seiten setzen außerdem JavaScript ein, um das aufrufende System zu fingerprinten. Erfasst werden laut Bericht unter anderem Informationen zu Webbrowser, Betriebssystem, Bildschirm- und Fenstergröße, Browsersprache, Zeitzonenversatz, Cookie-Fähigkeiten, WebDriver-Status, WebGL-Anbieter und verfügbaren Browser-APIs. Diese Daten werden per HTTP-POST an einen PHP-Endpunkt übertragen, bevor das Skript den Browser zum per Proxy bereitgestellten Microsoft-OAuth-Autorisierungsendpunkt weiterleitet.
Hinzu kommt eine Abfrage der Geolokalisierungs-API „api.country[.]is“, um den Ländercode des Anfragenden zu bestimmen. Das Ergebnis wird in einem Cookie namens „rcfh_country“ mit einer Laufzeit von sieben Tagen gespeichert. Kontrollierte Tests zeigen laut Arctic Wolf, dass die bösartigen Anmeldungen binnen Minuten über einen Residential-Proxy-Ausgangsknoten im Land des Opfers erfolgen. Das deute darauf hin, dass die Täter die Geolokalisierungsdaten nutzen könnten, um geografisch passende Proxy-Infrastruktur für nachfolgende Logins auszuwählen und Schutzmechanismen gegen ungewöhnliche IP-Adressen zu umgehen.
Auffällig seien einige Anmeldeereignisse mit „unplausiblen Browser- und Betriebssystem-Kombinationen“, etwa mobilen Versionen von Apple Safari oder Google Chrome auf Windows 10. Typischerweise hätten 11 bis 24 Stunden nach der ersten anomalen Aktivität wiederkehrende bösartige Anmeldungen in Acht-Stunden-Intervallen begonnen. Diese Ereignisse meldeten Microsoft Outlook als Client-Anwendung, verwendeten aber Firefox 131.0, Firefox 151.0 oder gelegentlich Python-Requests-User-Agents statt des erwarteten Edge-User-Agents.
Die wiederkehrenden Anmeldungen behielten laut Arctic Wolf dieselbe SessionID bei, während sich Quell-IP, ASN und geografischer Standort änderten. Das sei ein weiterer Hinweis darauf, dass eine zentrale Automatisierung jede kompromittierte Sitzung unabhängig auffrische. Nach der Kompromittierung beschränkten sich die Aktivitäten in den meisten untersuchten Fällen auf Sitzungsaufrechterhaltung, Aufklärung und das Sammeln von Postfachinhalten. Weitere Aktivitäten wie Änderungen an MFA-Methoden, Geräteregistrierung, Änderung von Zugangsdaten, seitliches Phishing oder das Anlegen von Posteingangsregeln wurden dem Bericht zufolge nicht beobachtet.
Wie bei Storm-2755 stützen sich die Angreifer nach Erkenntnissen von Arctic Wolf auf die Microsoft Graph API, um Benutzer im Mandanten mit Bezug zu Payroll, HR, Finanzen und administrativen Funktionen zu ermitteln. Danach greifen sie auf Nachrichten zu, die mit Gehaltsabrechnung, Rechnungen, Zahlungen, Bankthemen, Zusatzleistungen und internen Dokumenten zusammenhängen. In einer kleinen Zahl von Fällen beobachtete der Sicherheitsanbieter jedoch manuelle Eingriffe: Dabei legten die Angreifer Posteingangsregeln an, die bestimmte Nachrichten automatisch vom Posteingang in „Gelöschte Elemente“ verschoben und als gelesen markierten.