Nel panorama della sicurezza informatica, l’autenticazione a più fattori (MFA) è spesso considerata una barriera efficace contro gli accessi non autorizzati. Tuttavia, recenti indagini condotte dal Security Operations Center (SOC) di Darktrace hanno rivelato che anche la MFA può essere aggirata attraverso tecniche sofisticate come il phishing Adversary-in-the-Middle (AiTM), sfruttando servizi legittimi per mascherare attività malevole.
Cos’è un Attacco Adversary-in-the-Middle (AiTM)?
Gli attacchi AiTM rappresentano una forma avanzata di phishing in cui gli aggressori interpongono un server proxy tra l’utente e il sito web legittimo. Questo consente loro di intercettare in tempo reale le credenziali di accesso e i token di autenticazione, inclusi quelli generati da sistemi MFA. Una volta ottenuti questi dati, gli attaccanti possono accedere ai sistemi aziendali come se fossero utenti legittimi, eludendo le misure di sicurezza tradizionali.
L’Abuso di Servizi Legittimi: Il Caso di Milanote
Nel periodo tra la fine del 2024 e l’inizio del 2025, Darktrace ha identificato campagne di phishing che sfruttavano Milanote, un’applicazione per la collaborazione e la gestione di progetti, come veicolo per diffondere contenuti malevoli. Gli aggressori inviavano email apparentemente innocue attraverso Milanote, rendendo difficile per i sistemi di sicurezza distinguerle da comunicazioni legittime. Questo approccio aumenta la probabilità che gli utenti clicchino su link dannosi, facilitando l’esecuzione degli attacchi AiTM.
La campagna ha iniziato con una serie di email di phishing strutturate per sembrare comunicazioni autentiche. Queste email, apparentemente inviate da colleghi, facevano riferimento a un “nuovo accordo” e includevano un collegamento che portava la vittima a una pagina fraudolenta sulla piattaforma Milanote.
Le fasi comprendevano:
- Utilizzo di piattaforme legittime: Milanote è stata sfruttata dagli attaccanti per rendere il contenuto delle email più convincente e confondere i destinatari.
- Link di raccolta credenziali: Il collegamento incluso nelle email reindirizzava gli utenti a una pagina progettata per raccogliere informazioni sensibili come credenziali di accesso
Una volta compromessi, gli account hanno mostrato segnali chiari di manipolazione:
- Creazione di regole di posta elettronica con nomi come “GFH” e “GVB” per eliminare tutte le email contenenti la parola “Milanote”.
- Alterazione di allegati relativi a documenti importanti, come fatture, suggerendo un uso fraudolento delle comunicazioni aziendali.
Queste modifiche erano mirate a nascondere l’attività malevola e facilitare ulteriori operazioni fraudolente.
Darktrace ha risposto tempestivamente al rilevamento dell’attività anomala. Entro tre minuti dalla rilevazione del primo accesso sospetto, il sistema di Autonomous Response ha disabilitato l’account compromesso per due ore. Durante questo intervallo, il team di sicurezza dell’organizzazione ha adottato le seguenti misure:
- Reset della password dell’utente compromesso.
- Chiusura di tutte le sessioni SaaS attive.
- Eliminazione delle regole di posta elettronica malevole.
Tycoon 2FA: Un Kit di Phishing AiTM Sofisticato
Uno degli strumenti utilizzati in queste campagne è Tycoon 2FA, un kit di phishing AiTM emerso per la prima volta nell’agosto 2023. Questo kit permette agli aggressori di creare pagine di login che imitano perfettamente quelle di servizi popolari come Microsoft 365. Quando un utente inserisce le proprie credenziali e il codice MFA, Tycoon 2FA intercetta queste informazioni in tempo reale, consentendo agli attaccanti di accedere immediatamente ai sistemi target.
Come Difendersi: Strategie e Tecnologie
Per contrastare efficacemente questi attacchi, è fondamentale adottare un approccio di “difesa in profondità”, che preveda l’implementazione di multiple misure di sicurezza complementari. Alcune delle strategie consigliate includono:
- Utilizzo di MFA resistente al phishing: Tecnologie come FIDO2 e passkey offrono una maggiore protezione contro gli attacchi AiTM, poiché non si basano su codici OTP facilmente intercettabili.
- Monitoraggio comportamentale: Soluzioni basate su intelligenza artificiale, come quelle offerte da Darktrace, possono rilevare anomalie nei comportamenti degli utenti, identificando accessi sospetti anche quando le credenziali sembrano legittime.
- Educazione e consapevolezza: Formare i dipendenti a riconoscere tentativi di phishing e a segnalare attività sospette è cruciale per prevenire compromissioni.
Conclusione
Gli attacchi AiTM rappresentano una minaccia crescente per le aziende, dimostrando che la sola implementazione della MFA non è sufficiente a garantire la sicurezza. È essenziale adottare un approccio multilivello alla sicurezza informatica, combinando tecnologie avanzate, formazione del personale e monitoraggio continuo per proteggere efficacemente le risorse aziendali.
Maggiori informazioni su come Darktrace affronta questi attacchi sono disponibili qui: MFA Under Attack: AiTM Phishing Kits Abusing Legitimate Services.
Informatics, ski racer, loves travels, Finland, Norway, mountains, squash, photography, Drones and RC Helicopter
RSS - Articoli
Commenti recenti