Layanan Phishing Greatness Kini Menyamar sebagai RingCentral untuk Membobol Akun Microsoft 365

Platform phishing-as-a-service (PhaaS) bernama Greatness dilaporkan telah meningkatkan kemampuan serangannya. Jika sebelumnya hanya berfokus pada pencurian kredensial, kini layanan tersebut juga mendukung teknik adversary-in-the-middle (AiTM) dan device-code phishing untuk mengambil alih akun Microsoft 365.

Platform ini diketahui telah beroperasi sejak pertengahan tahun 2022 dan menargetkan pengguna Microsoft 365 di berbagai negara, termasuk Amerika Serikat, Kanada, Inggris, Australia, dan Afrika Selatan.

Seiring perkembangannya, Greatness kini juga mampu menyerang pengguna iCloud, Yahoo, serta Google Workspace. Layanan ini bahkan dipasarkan kepada pelaku kejahatan siber melalui kanal Telegram dengan biaya berlangganan sekitar US$289 per bulan.

Menyalahgunakan Nama RingCentral

Dalam kampanye terbaru yang diamati oleh peneliti keamanan email, pelaku memanfaatkan nama RingCentral, sebuah platform komunikasi bisnis berbasis cloud, untuk meningkatkan peluang keberhasilan serangan.

Email phishing dikirim dengan menyamar sebagai alamat service@ringcentral[.]com dan ditujukan kepada pengguna RingCentral yang sebenarnya.

Korban dipancing melalui berbagai notifikasi palsu, seperti:

• Pesan voicemail baru.
• Hasil atau evaluasi kinerja (performance review).

Tujuannya adalah mendorong penerima agar membuka email dan mengklik tautan yang disediakan.

Berhasil Melewati Filter Keamanan Email

Meskipun email tersebut sebenarnya dikirim dari server milik pihak lain, gagal melewati pemeriksaan SPF dan DMARC, serta tidak memiliki tanda tangan DKIM, pesan tetap diterima oleh sebagian sistem penerima.

Hal ini terjadi karena domain RingCentral telah masuk dalam daftar safe sender atau whitelist pada beberapa organisasi.

Untuk semakin meyakinkan korban, email juga menampilkan banner palsu yang mengklaim bahwa pengirim telah diverifikasi oleh daftar pengirim tepercaya milik organisasi.

Teknik tersebut memungkinkan email memperoleh Spam Confidence Level (SCL) -1 pada Microsoft Exchange, sehingga dapat melewati sebagian besar proses penyaringan spam.

Menggunakan Teknik AiTM dan Device-Code Phishing

Ketika korban mengklik tombol pada email, mereka diarahkan ke infrastruktur milik Greatness.

Di sana, korban akan diarahkan ke salah satu dari dua metode serangan:

• Adversary-in-the-Middle (AiTM) yang mampu mencuri token autentikasi setelah pengguna menyetujui proses Multi-Factor Authentication (MFA).
• Device-code phishing, yaitu metode yang memanfaatkan kode autentikasi perangkat untuk memperoleh akses ke akun Microsoft 365.

Halaman phishing yang ditampilkan bahkan menggunakan branding yang disesuaikan dengan tenant Microsoft 365 milik korban agar terlihat semakin meyakinkan.

Penyerang Memanfaatkan Token untuk Mengakses Seluruh Layanan Microsoft 365

Setelah berhasil memperoleh token autentikasi, pelaku menggunakan server VPS maupun layanan VPN komersial untuk masuk ke akun korban.

Dengan token tersebut, penyerang dapat mengakses berbagai layanan Microsoft 365 melalui Microsoft Graph, termasuk:

• Outlook Mailbox.
• Microsoft Teams.
• SharePoint.
• OneDrive.
• Daftar kontak.
• Kalender.
• Aplikasi yang telah terdaftar pada akun.

Dalam beberapa kasus, akses terhadap akun korban diketahui dapat bertahan selama lebih dari dua minggu.

Diduga Memanfaatkan Data dari Insiden RingCentral

Beberapa waktu sebelumnya, RingCentral mengungkap adanya insiden kebocoran data yang diklaim dilakukan oleh kelompok peretas ShinyHunters.

Perusahaan menyatakan bahwa insiden tersebut hanya berdampak pada sebagian kecil pelanggan dan telah menghubungi pihak yang terdampak secara langsung.

Meski belum ada bukti yang memastikan keterkaitan kedua peristiwa tersebut, peneliti menduga daftar pengguna RingCentral yang bocor kemungkinan dimanfaatkan oleh operator Greatness untuk menentukan target serangan yang lebih akurat.

Rekomendasi Mitigasi

Administrator disarankan untuk segera melakukan beberapa langkah pencegahan, antara lain:

• Meninjau kembali daftar safe sender dan menghindari pengecualian berdasarkan domain secara menyeluruh.
• Memastikan email hanya diterima apabila lolos autentikasi SPF, DKIM, dan DMARC.
• Memantau login Microsoft 365 yang berasal dari VPS atau layanan VPN yang tidak dikenal.
• Mengidentifikasi infrastruktur yang digunakan oleh Greatness.
• Jika ditemukan indikasi kompromi, segera mencabut seluruh access token dan refresh token yang aktif.
• Meninjau izin OAuth, aktivitas Microsoft Graph, serta akses terhadap seluruh layanan Microsoft 365.

Langkah-langkah tersebut penting untuk mencegah penyalahgunaan akun dan membatasi dampak apabila token autentikasi telah berhasil dicuri.

Sumber: ZeroBEC