Kali365 lợi dụng xác thực Microsoft tấn công doanh nghiệp Mỹ
"Kali365 is a phishing kit exploiting Microsoft's device code authentication to gain access to corporate data in US organizations. Attackers use legitimate Microsoft login pages to obtain access and refresh tokens, potentially leading to data exposure and financial fraud. Mitigation requires actionable phishing intelligence, faster validation of suspicious activity, and proactive threat research."
Kali365 khai thác lỗ hổng trong quy trình xác thực Microsoft 365, cho phép kẻ tấn công truy cập trái phép vào dữ liệu doanh nghiệp. Việc lạm dụng device code authentication khiến việc phát hiện trở nên khó khăn.
Các doanh nghiệp có thể phải đối mặt với gian lận tài chính, rò rỉ dữ liệu và gián đoạn hoạt động do Kali365. Chi phí ứng phó sự cố và tổn thất uy tín cũng là những tác động đáng kể.
Kali365 là một bộ công cụ phishing (lừa đảo) khai thác xác thực thiết bị của Microsoft để truy cập dữ liệu doanh nghiệp tại các tổ chức ở Mỹ. Kẻ tấn công sử dụng các trang đăng nhập Microsoft hợp lệ để có được quyền truy cập và refresh token, có thể dẫn đến rò rỉ dữ liệu và gian lận tài chính.
Bộ công cụ này nhắm mục tiêu vào các tổ chức Mỹ, sử dụng mã thiết bị do kẻ tấn công kiểm soát mà nạn nhân xác nhận trên trang xác thực chính thức của Microsoft. Khi quyền truy cập và refresh token được cấp, kẻ tấn công có thể giữ quyền truy cập vào email, tài liệu và tài nguyên đám mây, tạo ra con đường trực tiếp dẫn đến rò rỉ dữ liệu, gian lận tài chính, gián đoạn hoạt động và chi phí ứng phó sự cố tốn kém.
Kali365 hoạt động qua ba giai đoạn chính: dụ dỗ nạn nhân, chuyển hướng đến trang xác thực Microsoft hợp lệ và lấy quyền truy cập OAuth. Kẻ tấn công sử dụng các trang giả mạo dịch vụ quen thuộc như SharePoint, OneDrive hoặc DocuSign để lừa nạn nhân nhập mã do chúng cung cấp. Sau khi xác thực thành công, kẻ tấn công có thể thu thập access token và refresh token để truy cập liên tục vào Microsoft 365.
Một cuộc tấn công Kali365 có thể gây ra những hậu quả nghiêm trọng cho doanh nghiệp, bao gồm gian lận tài chính, rò rỉ dữ liệu nhạy cảm, gián đoạn hoạt động, chi phí ứng phó sự cố cao và rủi ro về tuân thủ, uy tín. Việc nạn nhân xác thực trên trang Microsoft hợp lệ khiến hoạt động này có vẻ bình thường, kéo dài thời gian trước khi phát hiện sự cố.
Để giảm thiểu rủi ro, các tổ chức cần thông tin tình báo về phishing mới nhất, xác thực nhanh chóng các hoạt động đáng ngờ và chuẩn bị cho sự phát triển của mối đe dọa này. Việc sử dụng STIX/TAXII, API và SDK để cập nhật các chỉ số đe dọa (IOCs) cho các hệ thống bảo mật là cần thiết. ANY.RUN cung cấp các IOCs mới từ các sandbox investigation của hơn 15.000 tổ chức và 600.000 chuyên gia bảo mật.
Câu hỏi thường gặp
Kali365 là gì?
Kali365 là một bộ công cụ phishing khai thác xác thực thiết bị của Microsoft để truy cập dữ liệu doanh nghiệp. Nó nhắm mục tiêu vào các tổ chức ở Mỹ, nhưng các tổ chức khác cũng có thể bị ảnh hưởng.
Làm thế nào Kali365 hoạt động?
Kali365 dụ dỗ nạn nhân truy cập trang giả mạo, sau đó chuyển hướng họ đến trang đăng nhập Microsoft hợp lệ để nhập mã do kẻ tấn công cung cấp. Sau khi xác thực, kẻ tấn công có thể lấy access token và refresh token.
Hậu quả của việc bị tấn công bởi Kali365 là gì?
Các hậu quả có thể bao gồm gian lận tài chính, rò rỉ dữ liệu nhạy cảm, gián đoạn hoạt động và chi phí ứng phó sự cố cao. Nó cũng có thể dẫn đến rủi ro về tuân thủ và uy tín.
Góc nhìn của Orange Cloud
Theo chúng tôi, Kali365 cho thấy một xu hướng tấn công tinh vi, lợi dụng các cơ chế xác thực hợp lệ của Microsoft. Doanh nghiệp Việt Nam cũng cần lưu ý, đặc biệt là các tổ chức sử dụng Microsoft 365. Điều đáng chú ý là việc phát hiện sớm các dấu hiệu bất thường trong quá trình xác thực thiết bị là rất quan trọng. Các tổ chức nên xem xét triển khai các giải pháp phân tích hành vi và tích hợp thông tin tình báo về mối đe dọa để tăng cường khả năng phòng thủ.