NovaCookies ruba sessioni Microsoft 365: il phishing AiTM costa 320 dollari

🛡️ Executive Summary

• NovaCookies offre per 320 dollari al mese un servizio AiTM capace di intercettare sessioni Microsoft 365 dopo password e MFA.
• Le campagne abusano di buste Docusign autentiche, redirect Microsoft e Google, domini usa e getta e controlli anti-analisi adattivi.
• Passkey e chiavi FIDO2 rappresentano la difesa strutturale; dopo un possibile attacco occorre revocare sessioni, credenziali, grant OAuth e regole della posta.

NovaCookies trasforma il furto delle sessioni Microsoft 365 in un servizio acquistabile per 320 dollari al mese. La piattaforma criminale opera come un proxy Adversary-in-the-Middle, inoltra in tempo reale il login verso Microsoft e intercetta il cookie rilasciato dopo che la vittima ha completato password e autenticazione multifattore. L’indagine tecnica pubblicata da Island Security collega il servizio a campagne contro centinaia di organizzazioni e a un’infrastruttura cresciuta rapidamente dalla metà di maggio 2026. La minaccia non dipende da un exploit di Microsoft 365, Docusign o Google: sfrutta la fiducia accordata ai loro servizi per accompagnare la vittima fino al proxy criminale.

NovaCookies vende il furto delle sessioni come un abbonamento

L’account che pubblicizza NovaCookies propone l’accesso alla piattaforma per 320 dollari al mese oppure 200 dollari per quattordici giorni, includendo domini, hosting, sistemi di redirect con marchio Microsoft o Google e assistenza agli acquirenti. Il modello commerciale riduce drasticamente le competenze necessarie per condurre un attacco AiTM: il cliente non deve sviluppare un reverse proxy, riprodurre i flussi di autenticazione di Entra ID, gestire le infrastrutture o adattare il kit ai cambiamenti introdotti da Microsoft. Acquista un servizio mantenuto, configurabile e dotato di pannello operativo, wallet, gestione degli ordini, collegamenti ai cookie sottratti e supporto.

L’interfaccia mostra persino il marchio “Nova Cookies” accompagnato dalla formula “Secured by Nova Systems”, una scelta che descrive con insolita chiarezza il vero prodotto criminale: non soltanto password, ma cookie di sessione già autenticati. Island ha ricevuto anche un’immagine Telegram a visualizzazione singola che il venditore presentava come profilo di un cliente. I ricercatori hanno trovato collegamenti tra quell’account e pannelli contenenti credenziali e dati di sessione, ma non hanno individuato ordini, pagamenti o transazioni capaci di provare autonomamente l’acquisto dichiarato. Questa distinzione è importante: le prove sostengono l’esistenza del servizio, il listino, le funzionalità e l’impiego dell’infrastruttura, ma non consentono di attribuire automaticamente ogni campagna a un singolo operatore. Come già osservato con JWR e il phishing controllato in tempo reale, il PhaaS separa chi sviluppa la piattaforma dagli affiliati che selezionano vittime, esche e modalità di monetizzazione.

Docusign autentico trasporta il documento fraudolento

Una delle catene di consegna più efficaci ricostruite da Island parte da una notifica Docusign autentica. Il messaggio conduce a una vera busta elettronica visualizzata attraverso il servizio legittimo, superando così numerosi controlli basati su autenticazione del mittente, reputazione del dominio e analisi del collegamento iniziale. Il contenuto della busta è però un documento contraffatto che simula una condivisione e sostiene che un ufficio contabilità abbia inviato un PDF relativo a una rimessa. Il collegamento dannoso si trova all’interno del documento, in un livello che diversi prodotti di sicurezza della posta possono non ispezionare con la stessa profondità applicata al messaggio originale. La vittima vede quindi una sequenza coerente: email Docusign, visualizzatore Docusign e richiesta di apertura di un documento aziendale. Docusign non risulta compromessa; il servizio viene abusato come contenitore affidabile per un oggetto malevolo.

Altre campagne passano attraverso siti legittimi compromessi oppure servizi online utilizzati per ospitare o reindirizzare il traffico, mantenendo il dominio finale fuori dal messaggio iniziale. Questo meccanismo conferma un’evoluzione già visibile nelle campagne AiTM contro Microsoft 365 costruite su servizi cloud affidabili: ciascun passaggio può sembrare accettabile se analizzato separatamente, ma la catena completa porta verso un’infrastruttura controllata dagli attaccanti. La reputazione del primo dominio non garantisce quindi l’affidabilità della destinazione finale, soprattutto quando l’utente attraversa visualizzatori documentali, sistemi di tracciamento e redirect prima di raggiungere la pagina di autenticazione.

I redirect OAuth di Microsoft e Google nascondono il salto finale

NovaCookies utilizza anche una tecnica di abuso dei redirect OAuth basata su applicazioni registrate in tenant controllati dagli attaccanti. Il collegamento può iniziare sul dominio autentico login.microsoftonline.com, con una richiesta di autorizzazione che include prompt=none e una URI di reindirizzamento già associata all’applicazione criminale. Il flusso viene costruito affinché l’autenticazione silenziosa fallisca e Microsoft Entra ID rimandi il browser alla destinazione registrata. Non si tratta di un tradizionale open redirect: l’URI deve essere stata configurata preventivamente nell’applicazione. Il vantaggio per l’attaccante è iniziare il percorso da un dominio Microsoft riconoscibile, sfruttando il comportamento previsto del protocollo per arrivare al sito di phishing.

In questa fase non viene ottenuto un token e non compare necessariamente una richiesta di consenso; il redirect serve a rendere credibile il percorso e a superare controlli che valutano prevalentemente il primo dominio. Alcune catene osservate impiegano nello stesso modo l’endpoint di autenticazione di Google, confermando le opzioni pubblicizzate dal venditore. La ricerca di Microsoft sull’abuso dei redirect OAuth descrive campagne che sfruttano errori intenzionali, parametri manipolati e richieste silenziose per trasferire l’utente verso domini criminali. Le applicazioni identificate da Microsoft sono state disabilitate, ma il comportamento previsto da OAuth può essere riutilizzato attraverso nuove registrazioni. L’abuso non dimostra quindi una vulnerabilità del protocollo o una compromissione di Entra ID: mostra come funzionalità legittime possano diventare componenti di una catena fraudolenta. La stessa pressione sulle identità cloud emerge con Kali365 e Greatness, piattaforme che automatizzano il furto degli account Microsoft 365.

Il proxy intercetta il cookie dopo password e MFA

Quando la vittima raggiunge la pagina finale, NovaCookies avvia un relay AiTM tra il browser e il vero servizio Microsoft. L’interfaccia visualizzata imita il login di Microsoft 365, ma le richieste vengono inoltrate in tempo reale all’infrastruttura legittima. L’utente inserisce la password e riceve le autentiche richieste per approvare una notifica nell’app Authenticator, digitare un codice temporaneo oppure utilizzare un codice ricevuto tramite SMS. Il kit gestisce separatamente questi metodi, impiegando anche le denominazioni interne utilizzate da Microsoft e mostrando errori differenti per password, codice dell’autenticatore o SMS rifiutati. La vittima non sta inviando un codice ormai scaduto a una pagina statica: sta completando una vera autenticazione attraverso un intermediario ostile. Quando Microsoft rilascia la sessione, il proxy può intercettare il relativo cookie e consegnarlo all’operatore. La MFA non viene violata crittograficamente, ma il suo risultato viene catturato e riutilizzato. Per questo notifiche push, SMS e codici OTP non rappresentano una protezione strutturale contro un relay in tempo reale. Una volta importato nel browser dell’attaccante, il cookie può permettere l’accesso a posta, documenti e applicazioni senza ripetere immediatamente l’intero login, almeno finché la sessione rimane valida e non intervengono ulteriori controlli. È la stessa logica osservata nelle campagne Evilginx capaci di sottrarre sessioni protette dall’MFA. NovaCookies conta inoltre i tentativi di inserimento e, in almeno un’osservazione conservata dai ricercatori, ha accettato più password prima di far avanzare il flusso, comportamento compatibile con il tentativo di raccogliere diverse credenziali candidate durante la stessa visita.

I controlli anti-analisi valutano il comportamento del browser

L’infrastruttura NovaCookies non si limita a collocare Cloudflare davanti alla pagina. Il kit combina controlli sul browser, proof of work eseguito sul client, associazione del contesto a breve durata, rilevamento dell’automazione e verifiche contro debugger e strumenti di sviluppo. Questi livelli rendono più difficile riprodurre un collegamento con scanner automatici o aprirlo successivamente da un ambiente differente. I ricercatori descrivono però il servizio come scanner-resistant, non come completamente invisibile: alcuni scanner basati su browser completo sono riusciti a catturare la pagina, mentre richieste senza JavaScript, replay ritardati o visite effettuate da contesti modificati possono arrestarsi ai controlli iniziali. Il motore assegna un punteggio al visitatore utilizzando segnali relativi a interazioni, caratteristiche del dispositivo, browser, marcatori di automazione e tentativi di ispezionare la pagina. La decisione non segue una rigida sequenza binaria. Un controllo fallito può essere tollerato se il comportamento complessivo appare umano, mentre verifiche più costose possono essere saltate quando il visitatore ha già fornito sufficienti segnali di autenticità. Anche l’apertura degli strumenti di sviluppo può essere rilevata misurando il tempo trascorso durante l’esecuzione di un’istruzione debugger: una pausa anomala contribuisce alla decisione di non mostrare l’esca. Gli affiliati possono modificare intervalli, callback, preset e severità dei controlli, producendo deployment con comportamenti diversi. Questa adattabilità complica le firme statiche e dimostra perché il rilevamento debba correlare più elementi: struttura dell’URL, catena di redirect, comportamento della pagina, fingerprint del browser e caratteristiche della sessione. Il device code phishing contro Microsoft 365 conferma la stessa tendenza a spostare l’attacco dai malware tradizionali verso i flussi legittimi di autenticazione.

I domini .vu rivelano una crescita iniziata a maggio

Island ha individuato infrastrutture NovaCookies a basso volume già alla fine del 2025, ma la crescita più evidente inizia dalla metà di maggio 2026. Le registrazioni aumentano rapidamente, raggiungono il picco di visibilità a giugno e continuano a comparire fino ad agosto. Questi dati misurano registrazioni e prime osservazioni dell’infrastruttura, non il numero assoluto delle email inviate o delle vittime compromesse. Quasi il 90% delle organizzazioni presenti nel campione analizzato è associato alla principale ondata basata su domini .vu. Gli hostname deformano nomi aziendali riconoscibili inserendo lettere, eliminando caratteri o concatenando denominazioni e acronimi, mentre i percorsi usano parole riferite alla condivisione documentale con maiuscole alternate, come PwPt-sHaRe, Ms36-AcCeSs e ClOd-ViEw, seguite da token variabili.

La capitalizzazione costituisce un’impronta utile, ma non deve essere trattata da sola come prova dell’appartenenza a NovaCookies. Il repository degli indicatori pubblicato da Island raccoglie 755 domini registrati e valutati come parte dell’infrastruttura: 736 confermati, 8 probabili e 11 possibili. I siti legittimi compromessi, gli host condivisi e le piattaforme cloud abusate sono stati esclusi per evitare blocchi indiscriminati. Anche i nomi delle aziende inseriti nei domini non provano che quelle società siano state violate o costituiscano necessariamente il bersaglio. Gli indicatori rappresentano una fotografia datata di un’infrastruttura progettata per ruotare rapidamente; devono quindi essere conservati con versione e livello di confidenza, evitando di trasformare una lista IOC in una regola permanente priva di contesto.

Centinaia di organizzazioni bersaglio non equivalgono a compromissioni

Gli artefatti esaminati mostrano centinaia di organizzazioni apparentemente prese di mira in più settori e regioni. Circa la metà delle entità distinte presenti nel campione è associata agli Stati Uniti, seguiti da concentrazioni più piccole nel Regno Unito, in Canada, Germania, Israele ed Emirati Arabi Uniti. Questi numeri descrivono però la geografia attribuita agli obiettivi visibili nella raccolta, non l’origine degli operatori, il numero completo delle campagne o una lista di vittime accertate. La presenza di un’organizzazione negli artefatti dimostra un’attività di targeting, ma non prova che un dipendente abbia aperto il collegamento, inserito credenziali o consegnato un cookie di sessione.

Per confermare una compromissione servono eventi del provider di identità, accessi anomali, evidenze nella posta, nuove regole di inoltro, grant OAuth inattesi oppure utilizzo della stessa sessione da dispositivi e reti incompatibili. È necessario distinguere anche il servizio NovaCookies dai suoi clienti: un kit condiviso produce impronte comuni, ma gli affiliati possono usare differenti registrar, domini, esche, Paesi e calendari operativi. Attribuire tutte le campagne a un unico gruppo soltanto perché impiegano lo stesso prodotto sarebbe equivalente ad attribuire ogni ransomware allo sviluppatore che vende il builder. Il problema è già emerso con Tycoon2FA, colpito da Microsoft ed Europol dopo campagne su scala globale: interrompere una parte dell’infrastruttura non cancella automaticamente clienti, copie del software e competenze distribuite. NovaCookies conferma che il mercato PhaaS continua a ricostruire rapidamente l’offerta, trasformando tecniche un tempo riservate a gruppi specializzati in prodotti accessibili attraverso un normale abbonamento criminale.

Passkey, revoca delle sessioni e controlli sul browser

La difesa più efficace contro NovaCookies consiste nell’adottare credenziali resistenti al phishing, come passkey e chiavi di sicurezza FIDO2, almeno per amministratori, personale finanziario, risorse umane, dirigenti e account con accesso a informazioni sensibili. Queste credenziali sono legate all’origine del sito e non completano l’autenticazione sul dominio sbagliato, impedendo al proxy AiTM di riprodurre lo stesso scambio utilizzato con OTP, SMS e approvazioni push. La Conditional Access, l’analisi del rischio e i controlli sul dispositivo restano importanti, ma devono essere correlati con browser, identità, posta ed endpoint. I difensori non possono limitarsi a bloccare l’ultimo dominio osservato: devono cercare hostname aziendali deformati, percorsi documentali a maiuscole alternate, redirect da endpoint OAuth verso destinazioni inattese e pagine che riproducono il login Microsoft dopo una catena di servizi legittimi. Le buste Docusign e i documenti ospitati su piattaforme collaborative devono essere ispezionati fino alla destinazione finale, senza considerare sicuro l’intero percorso perché il primo passaggio supera SPF, DKIM o DMARC. Se un utente ha completato l’autenticazione su una possibile pagina NovaCookies, il caso deve essere trattato come furto della sessione, non soltanto come esposizione della password: occorre revocare tutte le sessioni e i refresh token, reimpostare le credenziali, controllare nuovi metodi MFA, dispositivi registrati, autorizzazioni OAuth, applicazioni aziendali, accessi Microsoft Graph, regole della casella, forwarding e deleghe. I log devono essere analizzati per individuare SessionID utilizzati da indirizzi, ASN, user agent o sistemi operativi incompatibili. Il contrasto al phishing AI che colpisce identità Entra e accessi passwordless dimostra inoltre che l’autenticazione resistente al phishing deve essere accompagnata dalla protezione dell’endpoint e dal monitoraggio successivo al login. NovaCookies non rende inutile la MFA: rende insufficiente una MFA che può essere inoltrata in tempo reale e priva di vincolo crittografico con il dominio autentico.