Chiến dịch phishing nhắm vào Microsoft 365 và cài công cụ RMM
"Researchers observed a US-focused CSuite phishing campaign that used business-themed lures to steal Microsoft 365 sessions and deploy remote monitoring and management tools such as ScreenConnect and Action1 for endpoint access. The activity was concentrated in the United States and affected sectors including technology, manufacturing, government, and consulting, increasing the risk of mailbox takeover, financial fraud, and persistent remote access. No CVEs were mentioned; mitigation centers on improving attack-chain visibility, monitoring for session theft and RMM abuse, and correlating related infrastructure across incidents."
Rủi ro cao do đánh cắp phiên Microsoft 365, kết hợp RMM để duy trì truy cập và mở rộng sang endpoint. Có thể dẫn đến chiếm tài khoản, gian lận và truy cập kéo dài trong môi trường nội bộ.
Có thể gây gián đoạn điều tra và khắc phục do phải xử lý đồng thời tài khoản và thiết bị. Nguy cơ mailbox takeover và fraud ảnh hưởng trực tiếp đến vận hành, tài chính và uy tín doanh nghiệp.
Các nhà nghiên cứu ghi nhận một chiến dịch phishing nhắm chủ yếu vào Hoa Kỳ, sử dụng mồi nhử theo ngữ cảnh doanh nghiệp để đánh cắp phiên đăng nhập Microsoft 365 và triển khai các công cụ RMM như ScreenConnect và Action1 nhằm truy cập từ xa vào thiết bị đầu cuối. Hoạt động này xuất hiện trong 351 phân tích sandbox, trong đó 51% mẫu gửi lên đến từ Mỹ. Các ngành bị ảnh hưởng nhiều gồm công nghệ, sản xuất, chính phủ và tư vấn.
Chuỗi tấn công có thể đi theo hai hướng: chiếm quyền tài khoản email hoặc cài công cụ quản trị hợp pháp bị lạm dụng để duy trì truy cập. Điều này làm tăng nguy cơ chiếm hộp thư, gian lận tài chính và truy cập dai dẳng vào hệ thống nội bộ.
Khuyến nghị kỹ thuật: tăng cường giám sát thao tác phiên đăng nhập, phát hiện việc sử dụng RMM bất thường, theo dõi các chuỗi lây nhiễm từ trình duyệt đến script/payload, và liên kết hạ tầng liên quan giữa các sự cố thay vì xử lý từng chỉ báo riêng lẻ. Đồng thời, rà soát các luồng xác thực Microsoft 365 và cảnh báo khi có dấu hiệu device-code phishing hoặc đăng nhập từ phiên bị đánh cắp.