PREY-0058 ruba Microsoft 365 senza malware: vishing e proxy residenziali per estorcere le aziende

🛡️ Executive Summary

• PREY-0058 impersona l’help desk, ruba sessioni Microsoft 365 con AiTM e le riutilizza attraverso proxy residenziali geograficamente vicini alla vittima.
• Gli operatori non distribuiscono malware né effettuano movimento laterale di rete: enumerano ed esfiltrano direttamente SharePoint, OneDrive, Exchange e Box.
• Arctic Wolf collega il cluster a BlackFile, Pink, Helix, Cinder e Redact, ma evita di considerarli automaticamente un singolo gruppo criminale.

Un dipendente riceve una telefonata apparentemente proveniente dall’help desk, viene invitato a registrare una passkey o aggiornare l’MFA e pochi minuti dopo l’attaccante sta già esplorando SharePoint. È il modello operativo di PREY-0058, cluster monitorato da Arctic Wolf che mostra quanto l’estorsione cloud possa ormai funzionare senza installare malware, compromettere server o attraversare lateralmente una rete aziendale. Gli operatori rubano una sessione autenticata attraverso vishing e phishing Adversary-in-the-Middle, la riutilizzano da proxy residenziali compatibili con la geografia della vittima e passano direttamente alla raccolta di documenti da Microsoft 365 e altri servizi SaaS. L’endpoint può restare perfettamente pulito mentre l’intero patrimonio informativo accessibile all’identità compromessa viene copiato.

PREY-0058 parte da una telefonata dell’help desk e da una falsa registrazione MFA

L’alert tecnico pubblicato nel repository Wolf Tools di Arctic Wolf descrive un’operazione nella quale il social engineering è costruito specificamente attorno all’identità aziendale. Gli operatori telefonano soprattutto a director, vice president e altri dirigenti, impersonando personale IT o help desk e spiegando che è necessario aggiornare un metodo di autenticazione, registrare una passkey o completare una modifica dell’MFA. La vittima viene indirizzata verso un dominio costruito spesso nel formato <azienda>.<dominio-esca>, con nomi come assignpasskey, mfaregister, oskeysetup o registermymfa. Dietro la pagina lavora un pannello AiTM controllato manualmente dall’operatore, che accompagna in tempo reale la vittima attraverso il flusso Microsoft 365 e intercetta credenziali, approvazioni MFA e infine i token della sessione autenticata. La tecnica prosegue il modello già osservato nelle campagne Helix contro Microsoft 365, dove vishing e device code phishing sostituivano completamente il malware tradizionale, ma Arctic Wolf amplia ora il quadro identificando un intero cluster di operazioni estorsive che condividono infrastrutture, TTP e procedure di esfiltrazione.

NodeMaven e gli altri proxy residenziali fanno sembrare legittima la sessione rubata

Una volta ottenuto il token, gli attaccanti evitano di riutilizzarlo immediatamente da un server evidente in un data center straniero. PREY-0058 utilizza soprattutto proxy residenziali, con NodeMaven tra i servizi osservati più frequentemente, insieme a DataImpulse, Luminati, Massive, ProxyRack, Shifter, SOAX e YiLu. L’obiettivo è semplice ma efficace: fare in modo che il nuovo accesso provenga da un indirizzo IP associato alla stessa area geografica e, quando possibile, a un ASN compatibile con quello normalmente utilizzato dalla vittima. Una policy costruita soltanto su “impossible travel” o cambi improvvisi di Paese può quindi non vedere nulla di particolarmente anomalo. Arctic Wolf segnala come particolarmente sospetta una sequenza iniziale di accessi verso applicazioni quali OfficeHome, My Signins, My Profile, My Apps e Microsoft Account Controls v2, perché permettono all’operatore di capire quali applicazioni siano accessibili e quali informazioni contenga l’account appena compromesso. La tecnica mostra il limite già emerso quando ShinyHunters ha ottenuto password e MFA di un dipendente ReliaQuest ma il device trust ha comunque impedito l’accesso ai sistemi aziendali: una sessione correttamente autenticata non dovrebbe essere sufficiente se l’infrastruttura verifica anche l’affidabilità del dispositivo che la presenta.

Leggi anche: BigBear 2.0 aggira l’MFA di Microsoft 365 e compromette 258 organizzazioni

SharePoint viene prima mappato e poi svuotato con strumenti automatizzati

Dopo l’accesso iniziale il cluster non cerca host Windows, controller di dominio o condivisioni SMB. Gli operatori rimangono nel cloud e iniziano a mappare SharePoint ed Entra ID. Arctic Wolf ha osservato query SearchQueryPerformed con pattern molto specifici: contentclass:STS_Site per individuare i siti, contentclass:STS_Web per enumerare le relative strutture e ricerche basate su indexdocid per paginare i risultati. Secondo i ricercatori queste interrogazioni sono estremamente rare nell’attività quotidiana degli utenti normali osservati nella base MDR e rappresentano quindi un indicatore comportamentale più utile di un singolo indirizzo IP. Terminata la ricognizione, PREY-0058 passa alla raccolta massiva attraverso SharePoint, OneDrive, Exchange e Box, generando grandi volumi di eventi FileAccessed, FileDownloaded e MailItemsAccessed. User agent come python-requests, python-httpx e Microsoft.Graph.Client indicano un’esfiltrazione automatizzata invece di una navigazione manuale. È la stessa trasformazione documentata nelle campagne contro Microsoft 365 dove l’account compromesso diventa direttamente il punto di ingresso verso SharePoint e OneDrive: quando il dato risiede nel SaaS, il movimento laterale classico può diventare completamente superfluo.

Exchange lascia una coppia ClientAppId e API ID utile per il threat hunting

L’analisi forense ha individuato anche una firma particolarmente utile nelle operazioni contro Exchange Online. Gli eventi MailItemsAccessed associati all’esfiltrazione possono presentare il ClientAppId 9199bf20-a13f-4107-85dc-02114787ef48 insieme all’API ID c999ed3e-27ae-4cb3-b3a2-46b056af63d3. Arctic Wolf considera questa coppia compatibile con il toolkit utilizzato dal cluster, soprattutto quando compare un numero elevato di eventi in un intervallo molto breve e l’origine appartiene a infrastrutture hosting o proxy residenziali. Anche SharePoint e OneDrive offrono segnali simili: centinaia o migliaia di FileAccessed e FileDownloaded riconducibili allo stesso utente e alla stessa sessione, magari associati a python-requests/2.28.1 o python-httpx/0.28.1, difficilmente corrispondono al comportamento di una persona che consulta manualmente documenti. La detection deve quindi spostarsi dall’idea tradizionale di “file malware + processo sospetto” verso una correlazione tra identità, API, velocità di accesso ai dati, applicazione utilizzata e provenienza della sessione. Un concetto già visibile con TwinLoot, capace di nascondere esfiltrazione e comando attraverso Teams, SharePoint e Microsoft Graph, ma che PREY-0058 applica senza dover nemmeno distribuire un agente sul sistema della vittima.

BlackFile, Pink, Helix, Cinder e Redact condividono il playbook ma non sono un’unica identità provata

La parte attributiva richiede maggiore cautela. Arctic Wolf include PREY-0058 in un ecosistema nel quale compaiono i nomi BlackFile, Pink, Helix, Cinder e Redact, osservando forti sovrapposizioni con il cluster UNC6671 monitorato dal Google Threat Intelligence Group. Ma questi nomi non devono essere automaticamente trattati come alias certi dello stesso gruppo. Possono rappresentare affiliati, rebrand, collaborazioni temporanee oppure operatori differenti che condividono infrastrutture e procedure. L’analisi originaria di Google Threat Intelligence su UNC6671 aveva già ricostruito campagne BlackFile basate su vishing, SSO compromesso e sottrazione programmata di dati da Microsoft 365 e Okta, precisando che l’attore risultava distinto da altre attività ShinyHunters nonostante la sovrapposizione delle tecniche. Arctic Wolf valuta invece con moderata confidenza che Cinder possa rappresentare un rebrand o una continuazione di Pink, perché alcune organizzazioni pubblicate sul leak site Cinder coincidono con vittime legate a infrastrutture di phishing specifiche precedentemente associate a Pink. Il dato operativo conta più del nome: anche quando il brand cambia, telefonata, AiTM, proxy residenziale, SaaS discovery, esfiltrazione e ricatto continuano a essere riutilizzati.

L’estorsione non richiede ransomware quando SharePoint contiene abbastanza dati

La caratteristica forse più significativa di PREY-0058 è ciò che Arctic Wolf non ha osservato. Nessun malware sugli endpoint. Nessuna cifratura. Nessun movimento laterale di rete. Nessun ransomware. Gli attaccanti prendono semplicemente i dati ai quali l’identità compromessa può accedere e li utilizzano per chiedere denaro. Questo rende l’operazione più silenziosa e riduce enormemente gli indicatori tradizionali disponibili a un EDR. Un dirigente con privilegi estesi su SharePoint può esporre documenti di più dipartimenti, email, contratti, file finanziari e informazioni sensibili attraverso una sola sessione compromessa. Il valore economico dell’attacco cresce quindi direttamente con l’eccessiva ampiezza dei permessi dell’utente. È il modello che sta sostituendo progressivamente il ransomware in una parte del cybercrime enterprise: non serve interrompere l’azienda quando è sufficiente dimostrare di possederne i documenti. La stessa dinamica è comparsa nelle operazioni attribuite a ShinyHunters contro ambienti SaaS, dove il furto di dati da applicazioni cloud ha sostituito l’installazione di payload tradizionali.

Continua con:

• ARToken espone EvilTokens e automatizza la compromissione di Microsoft 365
• Phishing AI cresce del 1380% e Jalisco aggira l’accesso passwordless di Entra

FIDO2 e device trust valgono più di un altro filtro sul phishing

Le difese indicate da Arctic Wolf seguono direttamente il funzionamento della catena. Il primo controllo è imporre dispositivi gestiti o compliant per l’accesso a Microsoft 365, in modo che un token rubato non possa essere semplicemente riprodotto da un computer controllato dall’attaccante. Conditional Access dovrebbe inoltre bloccare o richiedere step-up authentication per proxy, anonymizer e infrastrutture hosting, anche se l’uso dei proxy residenziali rende inefficace qualsiasi strategia basata soltanto su liste statiche di IP. L’autenticazione deve spostarsi verso FIDO2 e passkey device-bound resistenti al phishing, capaci di legare la procedura all’origine legittima e impedire il relay AiTM. Continuous Access Evaluation può accelerare la revoca della sessione quando cambiano le condizioni di rischio, mentre la segmentazione dei permessi SharePoint riduce materialmente la quantità di dati sottraibile attraverso un singolo account. Sul piano umano la regola è ancora più semplice: un help desk interno non dovrebbe telefonare improvvisamente a un dirigente chiedendogli di registrare una passkey su un link ricevuto durante la chiamata. PREY-0058 mostra che l’ultima frontiera dell’estorsione cloud non richiede malware particolarmente sofisticati. Richiede soltanto una telefonata credibile, una sessione valida e un’identità autorizzata a vedere troppi dati.