Forg365 PhaaS nhắm Microsoft 365 bằng lừa đảo device code và chiếm phiên AitM
"A phishing-as-a-service operation called Forg365 is targeting Microsoft 365 users with device code phishing and adversary-in-the-middle session theft, using legitimate email delivery infrastructure and AI-assisted lure creation. The platform also supports token harvesting, cookie injection, and post-compromise mailbox actions such as keyword monitoring and AI-generated reply drafting; recommended mitigations include restricting device code authentication, reviewing mailbox artifacts, auditing mail-flow rules, and removing obsolete legacy aliases."
Nguy cơ cao do device code phishing có thể dẫn tới chiếm phiên/token và mở rộng sang hành động trong hộp thư; điểm đáng chú ý gồm AitM theo phiên/cookie và khả năng duy trì truy cập bằng ForgCookie.
Có thể gây gián đoạn vận hành và rủi ro lộ dữ liệu/giả mạo giao tiếp nội bộ do kẻ tấn công thực hiện theo dõi từ khóa và soạn phản hồi sau khi chiếm quyền; đồng thời tăng chi phí điều tra do chuỗi chuyển hướng qua hạ tầng gửi thư hợp lệ.
Một chiến dịch phishing-as-a-service (PhaaS) có tên Forg365 đang nhắm vào người dùng Microsoft 365 thông qua kết hợp device code phishing, adversary-in-the-middle (AitM), né bot và tạo nội dung mồi có hỗ trợ AI. Theo ghi nhận, dịch vụ này được phân phối qua Telegram và có mô hình đăng ký khoảng $400/tháng (hoặc $3.800/năm). Chuỗi tấn công sử dụng hạ tầng gửi email hợp lệ như Amazon SES và Twilio SendGrid để hòa vào lưu lượng thư thông thường trước khi chuyển hướng sang tên miền do kẻ tấn công kiểm soát.
Người dùng sau khi đăng ký có thể truy cập bảng điều khiển (clearnet) để tạo chiến dịch và quản lý token bị thu thập. Nhánh device-auth hiển thị trang mã xác minh theo phong cách Microsoft, nhưng mã đó lại cấp quyền cho phiên do kẻ tấn công điều khiển. Với AitM, nền tảng dùng route tokens và session cookies để quyết định hiển thị nội dung lừa đảo; nếu phát hiện VPN, trang lừa đảo có thể bị thay bằng nội dung “mồi”.
Forg365 còn cung cấp tiện ích ForgCookie cho trình duyệt Chromium để duy trì truy cập bằng cách làm mới cookie đăng nhập Microsoft và thu thập cookie qua nhiều miền. Ngoài đánh cắp thông tin, nền tảng hỗ trợ hành động sau xâm nhập như theo dõi từ khóa trong hộp thư và soạn phản hồi bằng AI. Khuyến nghị: hạn chế device code authentication (chỉ bật khi thật sự cần), rà soát dấu vết hộp thư sau sự kiện device code, kiểm toán mail-flow rules, và ngừng các alias email legacy không còn tương ứng nhân sự hiện tại.