Oltre la casella di posta: ricognizione tramite Graph ed enumerazione degli utenti ServiceNow in una moderna intrusione alle identità

La compromissione tradizionale della posta elettronica aziendale (Business Email Compromise, BEC) viene spesso considerata un problema legato alla casella di posta: un account sottratto, un accesso non autorizzato alle e-mail, regole di inoltro e, talvolta, messaggi in uscita inviati fingendosi l'utente compromesso. Gli incidenti più recenti dimostrano tuttavia quanto queste intrusioni possano estendersi ben oltre la sola posta elettronica, una volta che un aggressore riesce a prendere il controllo di un'identità cloud.

In un caso recente analizzato dal team Sophos X-Ops Incident Response, un aggressore ha utilizzato il vishing (phishing vocale) e l'abuso della reimpostazione autonoma della password (Self-Service Password Reset, SSPR) per assumere il controllo di un account Microsoft 365, stabilire una sessione al dispositivo basata su un Primary Refresh Token (PRT) e spostarsi lateralmente verso diverse piattaforme SaaS. Anziché fermarsi all'accesso alla casella di posta, l'attaccante ha sfruttato l'identità compromessa come punto di partenza per penetrare nell'ecosistema SaaS più ampio dell'organizzazione presa di mira.

Le attività successive alla compromissione sono state individuate a partire da un singolo account utente compromesso e hanno incluso attività di ricognizione tramite Microsoft Graph, accesso ai contenuti di e-mail e SharePoint, con il download di quasi 100.000 documenti, accesso a Salesforce e l'esportazione confermata della tabella degli utenti di ServiceNow, contenente circa 2.500 record.

Il team Sophos X-Ops Incident Response lavora anche con clienti che non hanno acquistato in precedenza altre soluzioni Sophos, come XDR. Nella parte conclusiva di questo approfondimento, esamineremo brevemente le funzionalità di protezione preventiva, reattiva e comportamentale offerte da Sophos attraverso gli altri suoi servizi.

Leggi l’articolo: https://www.sophos.com/en-us/blog/graph-reconnaissance-and-servicenow-user-enumeration-in-a-modern-identity-intrusion