Компания Morada, специализирующаяся на кибербезопасности, выявила активную фишинговую кампанию, связанную с платформой RaccoonO365, которая функционирует по модели phishing-as-a-service (PhaaS, фишинг-как-услуга). Атака, отслеживаемая с сентября 2024 года, нацелена на сотрудников IT-отделов и служб поддержки в компаниях, работающих в глобальных промышленных цепочках поставок. Злоумышленники рассылают вредоносные PDF-вложения, маскирующиеся под документы от отделов кадров и финансов, с целью сбора учетных данных Microsoft 365 и кодов многофакторной аутентификации (MFA).
Описание
В основе механизма атаки лежит использование PDF-приманок, содержащих сокращённые URL-адреса сервиса lnk[.]ie, которые перенаправляют жертв на поддельные страницы входа Microsoft, размещенные на доменах с опечатками (Typosquatting). Эти страницы максимально точно имитируют официальный интерфейс корпорации. Все введённые данные, включая логины, пароли и одноразовые коды, перехватываются и передаются на инфраструктуру злоумышленников, замаскированную под API-эндпоинты Microsoft.
Особенностью кампании стало применение сервиса доставки писем Postman, который использует скомпрометированные учётные записи Microsoft 365 и инфраструктуру Azure для рассылки фишинговых сообщений. Это позволяет обходить традиционные системы защиты электронной почты, так как письма отправляются с легитимных, но захваченных аккаунтов, что повышает их доверительность и шансы на попадание в папку "Входящие".
Аналитики Morada отмечают, что выбор цели - IT-персонал в промышленных цепочках - не случаен. Такие сотрудники часто имеют расширенные права доступа внутри корпоративных сетей, а их организации обладают обширными базами контактов, которые могут быть использованы для последующих атак или продажи внутри экосистемы PhaaS. RaccoonO365 даже разработала инструмент автоматического сбора таких контактов (Lead Extractor), который интегрирован в её панель управления.
Для усложнения детектирования RaccoonO365 continuously совершенствует свои методы. Например, после предыдущего расследования Morada группа перенесла анти-бот логику с клиентской стороны на серверную, чтобы затруднить анализ. Кроме того, фишинговые страницы поддерживают мультиязычность и динамически подстраиваются под язык браузера жертвы, что повышает уровень доверия у пользователей из разных регионов.
Операторы RaccoonO365 также делегировали управление доменами своим аффилиатам и перестали предоставлять бесплатные VPS, перейдя на их платную аренду. Это повышает устойчивость инфраструктуры к блокировкам. Внутри группы используется токеновая система платежей (RaccoonO365 coins), что позволяет сохранять анонимность участников.
Эксперты предупреждают: данная кампания представляет серьёзную угрозу, особенно для организаций с развитыми внешними связями. Использование компрометированных отправителей, обход MFA через технику Adversary-in-the-Middle (AiTM) и автоматизация сбора данных делают атаку высокоэффективной и трудноотражаемой. Рекомендуется усилить контроль за входящей почтой, проводить регулярное обучение сотрудников и использовать решения для мониторинга активности в облачных сервисах.
Индикаторы компрометации
