Microsoft segnala l'abuso di OAuth per il mining di cripto e phishing

Microsoft ha rilevato nuove campagne criminali che sfruttano l'infrastruttura OAuth per automatizzare l'impiego di macchine virtuali (VM) in attività di mining di criptovalute e per condurre attacchi di phishing. Gli aggressori ottengono l'accesso a conti compromessi per creare o modificare applicazioni OAuth, attribuendo ad esse elevate autorizzazioni da utilizzare in attività illecite. Questo metodo consente anche ai criminali di mantenere un accesso alle applicazioni anche nel caso perdano il controllo dell'account originariamente compromesso.

L'uso di OAuth nel mining delle criptovalute

Una particolare entità nociva, identificata come Storm-1283, è stata individuata mentre sfruttava un account utente compromesso per creare una applicazione OAuth e dispiegare macchine virtuali dedicate al mining digitale. Gli aggressori hanno inoltre alterato applicazioni OAuth preesistenti legate all'account, aggiungendovi delle credenziali per perseguire gli stessi scopi.

Attacchi phishing tramite applicazioni OAuth

Un attore malintenzionato, ancora non identificato, ha compromesso diversi account utente, utilizzando successivamente le applicazioni OAuth create per la persistenza degli accessi e per mettere in atto attacchi email di tipo phishing. Sono utilizzati kit di phishing "adversary-in-the-middle" (AiTM) con l'obiettivo di derubare i cookie di sessione e eludere misure di autenticazione. Da queste azioni possono scaturire esplorazioni per frodi finanziarie tramite email concentrandosi su allegati contenenti parole chiave come "pagamento" e "fattura".

Raccomandazioni per la prevenzione

Per contrastare i rischi associati a tali minacce, Microsoft suggerisce alle organizzazioni di implementare l'autenticazione a più fattori (MFA), attivare delle policy di accesso condizionale e svolgere verifiche periodiche delle app e dei permessi concessi. Tali pratiche riducono drasticamente le probabilità che gli attacchi di phishing o di mining di criptovalute via OAuth possano avere successo.