NovaCookies lợi dụng thông báo Docusign để đánh cắp phiên Microsoft 365
"Researchers disclosed NovaCookies, a subscription-based adversary-in-the-middle phishing toolkit used to proxy Microsoft 365 sign-ins and steal authenticated sessions in real time. Campaigns abused genuine Docusign notifications and OAuth redirect chains to bypass trust checks, while the kit also included anti-analysis measures and support for other identity providers such as Okta; no CVE was reported and the primary impact is credential and session theft."
Nguy cơ chính là đánh cắp phiên đăng nhập và vượt qua MFA bằng kỹ thuật AitM; chiến dịch có thể dẫn đến chiếm quyền tài khoản trên Microsoft 365 và các hệ thống danh tính liên quan.
Có thể gây gián đoạn truy cập email/tài liệu, phát sinh điều tra sự cố và tăng rủi ro lộ dữ liệu nội bộ; các tổ chức dùng Microsoft 365 và Okta cần ưu tiên rà soát.
Các nhà nghiên cứu an ninh đã công bố về NovaCookies, một bộ công cụ phishing AitM hoạt động theo mô hình phishing-as-a-service (PhaaS), được dùng để chuyển tiếp đăng nhập Microsoft 365 và đánh cắp phiên xác thực theo thời gian thực. Dịch vụ này được ghi nhận với mức giá 320 USD/tháng và đã bị dùng trong các chiến dịch nhắm vào hàng trăm tổ chức tại nhiều quốc gia.
Điểm đáng chú ý là kẻ tấn công sử dụng thông báo Docusign hợp lệ làm mồi nhử, kết hợp các chuỗi chuyển hướng OAuth để vượt qua một số kiểm tra tin cậy. Sau khi nạn nhân nhập mật khẩu và mã MFA, hạ tầng của NovaCookies sẽ đóng vai trò trung gian để thu thập thông tin đăng nhập và cookie phiên. Bộ công cụ này cũng có các cơ chế anti-analysis như cổng Cloudflare và kiểm tra công cụ gỡ lỗi.
Theo các nhà nghiên cứu, NovaCookies còn hỗ trợ các nhà cung cấp danh tính khác như Okta. Do không có CVE được công bố, rủi ro chính nằm ở chiếm đoạt tài khoản và truy cập trái phép vào phiên làm việc.
Khuyến nghị: tăng cường lọc email, kiểm tra kỹ liên kết chuyển hướng, áp dụng phishing-resistant MFA nếu có thể, và giám sát đăng nhập bất thường trên Microsoft 365 cùng các nhà cung cấp danh tính liên kết.