Kali365 e Greatness industrializzano il furto degli account Microsoft 365

🛡️ Executive Summary

• Kali365 integra phishing, furto di token, gestione delle sessioni, analisi delle email e strumenti AI per preparare frodi BEC.
• Greatness usa false notifiche RingCentral, proxy AiTM e device code phishing per ottenere sessioni Microsoft 365 senza violare direttamente l’MFA.
• Le aziende devono limitare il device code flow, rimuovere le eccezioni email pericolose e revocare token e sessioni dopo ogni compromissione.

Kali365 e Greatness stanno trasformando il phishing contro Microsoft 365 in un servizio criminale completo, nel quale la cattura iniziale dell’account rappresenta soltanto il primo passaggio. Kali365 combina device code phishing, furto di token OAuth, automazione delle campagne, accesso alle caselle email e strumenti di intelligenza artificiale destinati alle frodi Business Email Compromise. Greatness ha invece aggiunto ai tradizionali proxy adversary-in-the-middle un nuovo flusso basato sui codici dispositivo e ha utilizzato false notifiche RingCentral per raggiungere utenti realmente abbonati al servizio. Le due piattaforme mostrano come password e codici MFA possano rimanere formalmente protetti mentre l’attaccante ottiene comunque una sessione cloud valida.

I servizi PhaaS vendono l’intera catena di compromissione

Il modello Phishing-as-a-Service non offre più soltanto pagine di login contraffatte, ma pannelli amministrativi, hosting, template, sistemi di pagamento, notifiche Telegram e strumenti per utilizzare direttamente gli account compromessi. Gli affiliati non devono sviluppare un proxy, gestire un’infrastruttura o conoscere nel dettaglio i protocolli OAuth: acquistano l’accesso al servizio, scelgono l’esca e seguono in tempo reale le vittime che aprono il collegamento. Questa evoluzione riduce la distanza tra operatori poco qualificati e gruppi capaci di condurre campagne contro ambienti aziendali complessi. Il passaggio era già evidente con Jalisco e le campagne di phishing AI contro Microsoft 365 ed Entra ID, ma Kali365 e Greatness aggiungono una fase post-compromissione sempre più strutturata. Il valore non risiede soltanto nel token rubato, ma nella capacità di cercare conversazioni finanziarie, individuare account amministrativi, leggere documenti e trasformare la casella della vittima in un punto di partenza per nuove frodi.

Kali365 usa il device code per ottenere token persistenti

Kali365, indicato anche con i nomi Octopi365 e Freedom365, è stato osservato almeno dall’aprile 2026 e viene distribuito principalmente attraverso Telegram. La piattaforma sfrutta il flusso OAuth 2.0 Device Authorization Grant, progettato per consentire l’accesso a televisori, terminali, dispositivi condivisi e sistemi privi di una tastiera completa.

L’attaccante avvia sul proprio dispositivo la procedura di autenticazione e genera un codice temporaneo, quindi convince la vittima ad aprire la vera pagina Microsoft e a inserire quel valore. L’utente visualizza il dominio corretto, completa il login e supera l’autenticazione multifattore, ma autorizza in realtà la sessione preparata dall’operatore criminale. L’avviso dell’FBI su Kali365 chiarisce che il servizio permette di acquisire access token e refresh token senza intercettare direttamente password o codici MFA. Gli operatori possono quindi raggiungere Outlook, Teams e OneDrive e mantenere l’accesso anche dopo un cambio della password, finché le sessioni e i token non vengono revocati. Lo stesso abuso del device code è stato già osservato in campagne contro Microsoft 365 capaci di aggirare l’MFA attraverso flussi OAuth legittimi.

Il pannello trasforma l’accesso in frode aziendale

L’analisi tecnica di Huntress sull’ecosistema Kali365 ha individuato oltre 240 indirizzi IP collegati a differenti varianti del pannello, almeno 33 template di phishing, più di 100 endpoint API, sistemi di pagamento in criptovalute e strumenti differenziati per operatori, amministratori e rivenditori. Le esche imitano OneDrive, SharePoint, Teams, Outlook, DocuSign, Adobe, Dropbox, notifiche vocali, centri di amministrazione, richieste MFA e avvisi di sicurezza. Alcune versioni combinano device code phishing e proxy AiTM, conservando i token ottenuti in un archivio dal quale l’operatore può aprire direttamente la casella della vittima.

La piattaforma integra inoltre una funzione di ricerca per parole come “invoice”, “payment”, “wire transfer” e “payroll”, utile per individuare conversazioni adatte a una frode finanziaria. Una delle edizioni analizzate utilizza Claude Sonnet per valutare le email intercettate, stimare il potenziale economico della conversazione e generare una risposta credibile con nuove coordinate bancarie. L’intelligenza artificiale non sostituisce il phishing iniziale, ma accelera l’analisi di migliaia di messaggi e consente all’operatore di concentrarsi sui thread con maggiori probabilità di produrre un pagamento.

OctoLink converte i token in normali sessioni del browser

Kali365 include applicazioni desktop come OctoLink Live e OctoLink Sender, progettate per utilizzare i token rubati senza dipendere continuamente dal pannello web. OctoLink Live apre finestre Chromium separate e già autenticate verso Outlook, OneDrive, SharePoint, Microsoft Entra e i portali amministrativi. L’applicazione scambia il refresh token con nuovi token di servizio e induce Microsoft a generare cookie ESTSAUTH, creando una sessione che appare simile a quella di un normale browser.

Questo comportamento riduce l’efficacia dei controlli che cercano soltanto chiamate automatizzate verso Microsoft Graph o user agent tipici degli script. Gli operatori possono usare più account contemporaneamente, mantenendo cookie e sessioni in partizioni separate. L’attività resta visibile nei log di accesso, ma può confondersi con quella di dipendenti remoti, soprattutto quando vengono impiegati proxy residenziali geograficamente vicini alla vittima. Il rischio conferma quanto emerso con HOLLOWGRAPH, che utilizza i calendari Microsoft 365 come canale di comando nascosto: i servizi cloud legittimi possono ospitare attività ostili difficili da distinguere dal normale lavoro aziendale.

Greatness usa RingCentral come esca credibile

La piattaforma Greatness, attiva almeno dal 2022, ha aggiunto il device code phishing alle precedenti funzioni di raccolta delle credenziali e ai proxy adversary-in-the-middle. Le campagne più recenti hanno impersonato notifiche di RingCentral, incluse segnalazioni di messaggi vocali e richieste relative alle prestazioni lavorative. L’esca assume una credibilità maggiore quando viene inviata a organizzazioni che utilizzano realmente il servizio, perché il destinatario riconosce il marchio e considera plausibile la comunicazione.

L’indagine di ZeroBEC su Greatness e sulle campagne RingCentral descrive messaggi capaci di raggiungere la posta in arrivo nonostante il fallimento dei controlli SPF, DKIM e DMARC, sfruttando configurazioni che trattavano il mittente come attendibile o applicavano esclusioni al normale filtraggio antispam. Il problema non risiede quindi soltanto nella qualità grafica del phishing, ma nella presenza di regole aziendali create per evitare che le comunicazioni del fornitore vengano bloccate. L’attaccante sfrutta la relazione commerciale esistente e la trasforma in un percorso privilegiato verso la casella della vittima.

AiTM e device code rubano sessioni con tecniche differenti

Greatness può indirizzare la vittima verso un proxy AiTM che replica la pagina Microsoft e inoltra in tempo reale credenziali, richieste MFA e risposte al servizio legittimo. Quando l’autenticazione viene completata, il kit acquisisce il cookie di sessione e permette all’operatore di accedere senza ripetere il login. Il device code phishing elimina invece la necessità di costruire una pagina Microsoft contraffatta: la vittima inserisce il codice direttamente sul sito autentico e autorizza la sessione dell’attaccante. In entrambi i casi l’MFA viene realmente completata, ma protegge la sessione sbagliata.

Il primo metodo richiede un’infrastruttura proxy e può essere riconosciuto attraverso domini anomali; il secondo utilizza interamente la procedura Microsoft e lascia come segnale principale la richiesta inattesa di un codice. Le sessioni ottenute vengono successivamente riutilizzate attraverso VPS, VPN commerciali e infrastrutture proxy per accedere a email, chat Teams, contatti, calendari, SharePoint e OneDrive. La diffusione dei servizi PhaaS rende ormai insufficiente classificare il phishing come semplice furto di password, perché il bersaglio principale è diventato il token che rappresenta una sessione già autenticata.

Le eccezioni antispam possono diventare una vulnerabilità

La campagna RingCentral mostra il rischio delle regole che assegnano fiducia sulla base del nome visualizzato, del dominio dichiarato o di un precedente rapporto commerciale. Un’email che fallisce SPF, DKIM e DMARC non dovrebbe essere considerata attendibile soltanto perché imita un fornitore autorizzato. Le organizzazioni devono rivedere le safe sender list, le regole di trasporto e le eccezioni create per piattaforme cloud, sistemi telefonici e servizi di firma dei documenti. Le policy devono basarsi su controlli crittografici e percorsi di consegna documentati, non sul testo presente nel campo mittente. Le campagne ShinyHunters contro Salesforce hanno già dimostrato come OAuth e finte comunicazioni IT possano trasformare servizi affidabili in vettori di compromissione. La stessa dinamica si applica a Microsoft 365: un’organizzazione può adottare correttamente l’MFA e mantenere contemporaneamente regole email o flussi OAuth che consentono all’attaccante di ottenere una sessione valida.

Microsoft raccomanda di bloccare il device code dove non serve

Microsoft considera il device code flow un metodo di autenticazione ad alto rischio e raccomanda di impedirne l’uso quando non è necessario. La documentazione di Microsoft Entra sulle policy Conditional Access consente di bloccare il flusso per tutti gli utenti e introdurre eccezioni soltanto per dispositivi o processi aziendali documentati. Prima dell’applicazione definitiva è opportuno utilizzare la modalità report-only e controllare i log per identificare eventuali terminali, sale riunioni o apparecchiature che dipendono legittimamente dal meccanismo. Dopo un incidente non basta cambiare la password: occorre revocare refresh token e sessioni attive, controllare dispositivi registrati, applicazioni OAuth, regole della posta, deleghe, inoltri automatici e nuovi connettori Exchange. I team di sicurezza devono cercare autenticazioni con protocollo device code da indirizzi o provider insoliti, accessi immediatamente successivi attraverso proxy, uso anomalo di Microsoft Graph e ricerche massive nelle caselle. Kali365 e Greatness dimostrano che la sicurezza dell’identità cloud dipende dal contesto dell’autenticazione e non soltanto dalla correttezza delle credenziali inserite.