Microsoft avdekker AiTM-phishing som misbruker SharePoint-deling

Microsoft Defender Security Research Team har avdekket en sammensatt, flertrinns phishing-kampanje av typen adversary-in-the-middle som misbruker fildelingstjenester i SharePoint. Kampanjen benytter også teknikker fra direktørsvindel og har rammet flere virksomheter, særlig innen energisektoren. Angriperne har brukt metodene til å stjele legitimasjon og skaffe seg uautorisert tilgang, samtidig som de unngikk deteksjon og vanlige opprydningstiltak som passordbytte. Microsoft anbefaler virksomheter å trekke tilbake aktive sesjoner, gjennomgå innboksregler og håndheve retningslinjer for betinget tilgang, siden passordbytte alene ofte ikke er tilstrekkelig mot denne angrepstypen.

Hva det betyr for virksomheten

Det viktigste i dette varselet er at standardsvaret ikke virker. Når angriperen sitter på en gyldig sesjonstoken, fortsetter tilgangen selv etter at passordet er endret, og mange virksomheter avslutter hendelsen for tidlig på et falskt grunnlag. At delingslenker i SharePoint brukes som bærer gjør det ekstra vanskelig, fordi lenken kommer fra en avsender og et system mottakeren allerede stoler på.

Berigo anbefaler

• Legg tilbakekalling av aktive sesjoner inn som fast punkt i håndteringsrutinen ved kontokompromittering, ikke bare passordbytte.
• Gjennomgå innboksregler og videresendingsregler for berørte kontoer, siden angriperne ofte legger igjen slike.
• Håndhev betinget tilgang med krav om samsvarende enhet, og bruk phishing-motstandsdyktig autentisering.
• Overvåk deling av SharePoint-filer til eksterne mottakere, og sett grenser for hvem som kan dele bredt.

Kilde

• microsoft.com