CSuite: фишинг против компаний США крадёт сессии Microsoft 365 и ставит RMM-инструменты

Исследователи компании ANY.RUN разобрали фишинговую кампанию под названием CSuite, ориентированную преимущественно на организации в США. Анализ строился на 351 запуске в песочнице, и 51% обращений приходилось на Соединённые Штаты. Ещё 18% дала Индия, отдельная активность наблюдалась на Филиппинах, в Австралии, Великобритании, Канаде и других странах. Наиболее уязвимыми оказались технологические компании, производство, государственные учреждения и консалтинг.

Две ветви одной атаки

Всё начинается с привычных деловых приманок, построенных вокруг Adobe, DocuSign, Zoom, Google Meet, Dropbox и Microsoft 365. В одном из разобранных случаев поддельный конверт DocuSign был оформлен от имени юридической фирмы.

Дальше операция расходится по двум направлениям. Первое доставляет установщики, архивы или лёгкие дропперы в формате BAT/VBS, которые ставят легитимные средства управления — например, ScreenConnect или Action1 — и открывают злоумышленникам удалённый доступ к устройству. В одной из сессий приманка в стиле Adobe принесла BAT-файл, повысивший привилегии и установивший ScreenConnect: фишинговая страница за считанные шаги превращалась в удалённый контроль над конечной точкой.

Второе направление нацелено на учётные записи. Жертву подталкивают к вводу учётных данных или к схеме device-code phishing, чтобы перехватить доступ к Microsoft 365 и активные сессии.

Почему инцидент разрастается

Сочетание двух подходов делает CSuite опаснее обычного фишинга: атакующие получают контроль и над бизнес-аккаунтами, и над устройствами сотрудников. Возможные последствия — захват почтового ящика с чтением переписки о платежах, финансовое мошенничество через подмену счетов и перенаправление выплат, устойчивый удалённый доступ через RMM-инструменты уже после первичного заражения, а также распространение внутри организации от лица доверенного сотрудника.

Исследователи отметили и полезную для защитников зацепку: на страницах-приманках повторялся путь /m/js/utils.js. По этому артефакту удалось связать между собой разные запуски в песочнице и выявить смежную активность кампании.

Основной вывод авторов — реагировать по частям здесь не получится. Атака проходит через браузер, выполнение скриптов, доставку полезной нагрузки и установку средств удалённого доступа, поэтому расследование требует восстановления всей цепочки, а не оценки по одному файлу или домену, и одновременной работы с украденными сессиями и скомпрометированными устройствами.

Источник: The Hacker News