N0va Phishkit nhắm vào doanh nghiệp tại Mỹ và châu Âu
"The N0va phishing kit is targeting organizations in North America and Europe by impersonating trusted business services and abusing legitimate authentication flows to capture access and refresh tokens. The campaign can lead to SSO access, enabling exposure of email, files, cloud applications, and other corporate resources; no CVE is mentioned, and the recommended mitigation is stronger threat intelligence correlation and behavioral analysis in sandboxing and SOC tooling."
Rủi ro cao do có thể dẫn tới chiếm quyền tài khoản hợp lệ, mở rộng sang email và ứng dụng đám mây, và khó phát hiện hơn so với mã độc truyền thống.
Có thể gây rò rỉ dữ liệu, gián đoạn vận hành và phát sinh chi phí xử lý sự cố; tác động tăng nếu tài khoản bị chiếm có quyền truy cập rộng.
N0va là một phishing kit đang nhắm vào các tổ chức ở Bắc Mỹ và châu Âu, giả mạo các dịch vụ doanh nghiệp quen thuộc để lừa người dùng đăng nhập qua luồng xác thực hợp lệ. Cách tiếp cận này giúp kẻ tấn công thu thập access token và refresh token mà không cần dựa vào mã độc dễ nhận biết.
Khi tài khoản bị chiếm quyền, đối tượng tấn công có thể mở rộng truy cập sang email, tệp tin, ứng dụng đám mây và các tài nguyên nội bộ khác gắn với danh tính đó. Hoạt động đã được ghi nhận ở nhiều lĩnh vực như chính phủ, công nghệ, tư vấn và y tế.
Chuỗi tấn công thường bắt đầu từ mồi nhử mang thương hiệu quen thuộc như Microsoft Teams, SharePoint, OneDrive, DocuSign, Google Drive, Dropbox, Zoom hoặc Adobe Sign, sau đó dẫn người dùng qua quy trình đăng nhập thật để lấy token và thiết lập SSO access.
Khuyến nghị cho đội an ninh là tăng cường correlation threat intelligence, theo dõi hành vi bất thường trong sandbox và SOC tooling, đồng thời ưu tiên phát hiện các dấu hiệu liên quan đến token theft và xác thực bất thường.