La herramienta Greatness simplifica enormemente el proceso de configuración de una campaña de phishing, lo que reduce significativamente la barrera de entrada para los atacantes. Para atacar a una empresa, los ciberatacantes solo necesitan iniciar sesión en el servicio con su clave API, proporcionar una lista de direcciones de correo electrónico objetivo y crear el contenido del correo electrónico.

El siguiente paso, es que Greatness envía el correo de Phishing a las víctimas; quienes caen en la trampa y abren el adjunto que acompaña al correo electrónico, reciben un código JavaScript que se conecta con el servidor del servicio y captura la página de destino maliciosa. Esta página está previamente automatizada, lo que la hace más creíble, ya que tomará el registro y la imagen de fondo de la empresa objetivo de la página de inicio de sesión auténtica de Microsoft 365 del empleador y completará previamente la dirección de correo electrónico correcta.

Posterior a ello, la página de destino actúa como intermediario entre el usuario y la página de inicio de sesión real de Microsoft 365, moviéndose a través del flujo de autenticación e incluso solicitando el código MFA, si la autenticación multifactor está configurada en la cuenta. Una vez que el usuario inicia sesión, los atacantes toman la cookie de sesión a través de Telegram, eludiendo el MFA y obteniendo acceso.

“Las sesiones autenticadas generalmente caducan después de un tiempo, lo que posiblemente sea una de las razones por las que se usa el bot de Telegram: informa al atacante sobre las cookies válidas lo antes posible para garantizar que puedan llegar rápidamente si el objetivo es interesante”, afirma un informe de Cisco.

Es importante que los usuarios de Microsoft 365 estén al tanto de este tipo de ataques de phishing y estén alerta ante cualquier correo electrónico sospechoso o inesperado.