La società di sicurezza ZeroBEC ha identificato una nuova piattaforma malevola chiamata Forg365, progettata per colpire gli account Microsoft 365 con campagne di phishing più evolute del solito. Il servizio viene offerto in abbonamento e integra anche funzioni basate su AI, così da abbassare la soglia tecnica per chi vuole lanciare attacchi mirati.
L’aspetto più critico è la combinazione tra strumenti pronti all’uso, un’estensione browser dedicata e tecniche in grado di aggirare i normali passaggi di autenticazione. Per aziende e reparti IT è un segnale da non sottovalutare, perché il bersaglio sono credenziali e sessioni di accesso già valide.
Forg365 è una piattaforma in abbonamento costruita per attaccare Microsoft 365
Forg365 viene descritto come un vero e proprio servizio criminale organizzato: chi paga un abbonamento ottiene una serie di strumenti per lanciare campagne di phishing contro account Microsoft 365. Nel pannello di controllo sono presenti anche funzionalità AI, pensate per rendere più semplice la preparazione degli attacchi e la gestione operativa delle campagne.
Oltre al kit di phishing, la piattaforma mette a disposizione anche un’estensione browser specifica che aiuterebbe gli attaccanti a mantenere nel tempo l’accesso agli account compromessi. Questo dettaglio è particolarmente rilevante perché sposta il rischio dal semplice furto di password a una compromissione più persistente della sessione utente.
- Modello operativo subscription-based, con accesso agli strumenti tramite abbonamento.
- Target principale: account Microsoft 365 in ambito aziendale.
- Presenza di funzioni AI integrate nel pannello di gestione.
- Disponibile anche un’estensione browser per favorire accessi prolungati agli account violati.
Le due modalità di attacco puntano a token OAuth e sessioni di autenticazione
La prima tecnica individuata è il cosiddetto attacco con codice dispositivo. In pratica la vittima viene convinta tramite email di phishing a raggiungere una pagina di accesso Microsoft legittima e a inserire un codice dispositivo.
La seconda tecnica è un attacco Adversary-in-the-Middle, abbreviato AiTM. Qui Forg365 aiuta a predisporre un server proxy malevolo che si interpone tra utente e servizio, intercettando dati di autenticazione e informazioni di sessione durante il login. Il vantaggio per i criminali è la possibilità di aggirare i controlli di autenticazione e ottenere accesso operativo all’account.
- Attacco con codice dispositivo: sfrutta il flusso di login Microsoft per ottenere token OAuth.
- Attacco AiTM: intercetta credenziali e dati di sessione tramite proxy malevolo.
- Entrambe le tecniche mirano a superare o aggirare i normali meccanismi di verifica.
- Il rischio reale non è solo il furto password, ma l’acquisizione di accessi già autenticati.
Le contromisure consigliate puntano su restrizioni e monitoraggio dei log
Per ridurre la superficie di attacco, ZeroBEC suggerisce di limitare l’uso della funzione di codice di autenticazione degli account Microsoft quando non è strettamente necessaria. È una misura pratica, perché proprio quel flusso viene sfruttato per indurre la vittima a concedere accesso all’attaccante.
Sul fronte del rilevamento, è consigliato rafforzare il controllo dei log di accesso Entra e dei registri di Microsoft Authentication Broker. Un monitoraggio più attento può aiutare a individuare attività anomale in fase iniziale, prima che l’accesso abusivo venga consolidato.
- Limitare la funzione di codice di autenticazione degli account Microsoft dove possibile.
- Monitorare con maggiore attenzione i log di Entra.
- Controllare i registri di Microsoft Authentication Broker.
- Intervenire rapidamente in presenza di sessioni sospette o accessi anomali.
