Fałszywy terminarz Teams wyłudził kod urządzenia Microsoft mimo MFA

Atakujący użyli fałszywego terminarza spotkań Microsoft Teams, żeby pracownik firmy budowlanej zatwierdził logowanie kodem urządzenia. Zdobyli ważny token sesji, zanim zespół SOC firmy Huntress wykrył incydent. Metoda korzysta z prawdziwego mechanizmu logowania Microsoft: ofiara wpisuje kod na oryginalnej stronie Microsoft, przechodzi MFA i nieświadomie zatwierdza sesję atakującego.

Wiadomość przyszła z domeny podszywającej się pod wiceprezesa innej firmy budowlanej. Link prowadził przez udostępnienie Google, więc domena atakującego nie pojawiła się w treści i wiadomość przeszła kontrolę reputacji adresów. Strona pokazywała kod jako „numer rezerwacji” z odliczaniem czasu, a po zalogowaniu przekierowywała na Calendly. Zestaw phishingowy był zaszyfrowany AES-256-GCM, z kluczem na tej samej stronie, co utrudnia analizę skanerom bez obsługi JavaScriptu.

Kogo dotyczy

Użytkowników kont Microsoft, w tym Teams, którzy dostają zaproszenia na spotkania od nieznanych kontrahentów. W opisanym przypadku celem była firma budowlana, a przynętą rozmowa o długoterminowej współpracy dostawczej.