עדכון שבועי 04.08.2022

 יותר מ-35 אלף מאגרי GitHub שוכפלו לצורך הפצת נוזקה

בפרסום של מפתח התוכנה סטפן לייסי מופיע מה שנראה כקוד זדוני שנמצא שנמצא בעשרות אלפי מאגרי GitHub, בהם גם מאגרים מוכרים בתחומים כמו קריפטו, Python ,Golang ,JS ,bash ,Docker ,Kubernetes ועוד. במבט ראשון נראה כי מדובר במתקפה מסיבית על GitHub, שאפשרה לתוקף לבצע Push לקוד זדוני באותם מאגרים. סברה זו התחזקה על בסיס Commits שביצעו מחברי המאגר המקוריים אל אותו מאגר נגוע. בירור קצר העלה שאותם Commits שבוצעו אינם חתומים על ידי GPG, חתימה נפוצה בקרב משתמשי Linux לצורך אימות המידע אותו הם מורידים. עוד נמצא כי לא מדובר במאגרים שהודבקו, אלא בכאלה ששוכפלו על מנת להיראות זהים ככל הניתן למאגרים המקוריים. הקוד הזדוני, הכתוב בשפת Go, מבצע תקשורת עם דומיין רוסי ovz1.j9544519.pr46m.vps.myjino[.]ru על פורט 49460 והעתקה ושליחה של משתני הסביבה של הסקריפט אליו הוא שייך. בין המשתנים אותם הוא גונב מצויים Security Keys ,AWS Access Keys ,Crypto Keys ואחרים. לאחר שליחת משתני הסביבה מורץ על השרת המודבק קוד שרירותי. סטפן לייסי גילה את הדבר כאשר בדק פרויקט מסוים שמצא באינטרנט וביקש להטמיעו בתהליך פיתוח עליו עבד. הממצא מדגיש עד כמה חשוב להיזהר בעת שימוש באלמנטים שמקורם באינטרנט. לאחר שהדבר דווח ל-GitHub, הוסרו משרתיו כל המאגרים שהכילו את הקוד.

צוות קונפידס ממליץ למפתחים ולשאר משתמשי GitHub לבחון בקפידה שורות קוד של פרויקטים שהם מבקשים להטמיע בסביבותיהם, בין היתר על ידי בדיקת סוג מערכת ההפעלה וזמן המערכת בתחילת ההרצה, תוך השוואתו לזמן המערכת לאחר עצירה מסוימת. זמני השהיה מוזרים עשויים להעיד על טכניקות התחמקות מ-Sandbox. עוד יש לשים לב לתקשורות עם כתובות IP/דומיינים, להאזנה בפורטים (יצירת דלת אחורית), לבקשות HTTP חשודות, להעתקת משתני ENV ועוד.

​

ממשלת ארה"ב מזהירה את אזרחיה מפני הסלמה במתקפות פישינג ב-SMS

רשות התקשורת הפדרלית (FCC) של ארצות הברית מזהירה את אזרחי המדינה מפני גל הולך וגובר של התקפות פישינג ב-SMS, או Robotexts, בלשונה, אשר מטרתן לגנוב מהקורבנות מידע אישי וכספים. המתקפות מתבססות על מספרים שנראים לגיטימיים, וכוללות ניסיון להתחזות למשרדים ממשלתיים או למספרים מקומיים, על מנת להעלות את הסיכוי למענה מצד הקורבן. חלק מהטקסטים הנשלחים לקורבנות דומים לספאם הנשלח באמצעות המייל, ומכילים קישורים למוצרים שונים, כאשר על חלק מהקורבנות אף הופעל ״לחץ״ בדמותה של דרישה ללחוץ על קישור מזויף כדי להיכנס לאתר של בנק, כביכול, לשם ביצוע אימות רכישה ו/או הפעלת כרטיס אשראי אשר הוקפא בעבר. טקסטים אחרים כוללים הודעות כוזבות אודות משלוחים. העלייה החדה במתקפות ניכרת בנתונים הנאספים במסגרת המעקב שמבצעת הרשות אחר תלונות צרכנים, כאשר בשנת 2019 דווח על 5,700 מתקפות פישינג לעומת 15,300 ב-2021. על מנת להתגונן מפני המתקפות, ה-FCC ממליצה לאמריקאים לנקוט באמצעים הבאים:

1. לא להגיב להודעות המתקבלות ממספרים חשודים או שאינם מזוהים.

2. לעולם לא לשתף מידע אישי או פיננסי באמצעות הודעות. 

3. לחפש בהודעות אחר שגיאות כתיב או טקסטים שמקורם בכתובת מייל.

4. לא ללחוץ על קישורים הנשלחים בהודעות טקסט. 

5. למחוק כל הודעה שנראית חשודה.

6. לעדכן את מערכת ההפעלה תדיר.

7. לשקול את התקנתה של תוכנת הגנה מפני נוזקות.

8. לדווח על על הודעות מסוג זה למוקד של ה-FCC.

על רקע המתקפות, גם הארגון הפרטי ללא מטרות רווח Better Business Bureau, המתמקד בקידום האמון בשוק ברחבי ארצות הברית קנדה ומקסיקו, מזהיר צרכנים מפני הונאות מבוססות טקסטים, שרבות מהן עושות שימוש בצ׳אטבוטים.

​

נוזקת Lofy Stealer משמשת תוקפים לגניבת פרטים של משתמשי Discord, בהם גם פרטי בנק

בזמן שחוקרי Securelist מבית Kaspersky עקבו אחר מאגרי קוד פתוח, הם הבחינו בפעילות חשודה בדמותן של ארבע חבילות שהכילו "קוד Python זדוני מעורפל מאוד״ במאגר Node Package Manager) npm), שהינו בית קוד פתוח עבור מפתחי JavaScript לשיתוף ושימוש חוזר בחלקי קוד לבניית יישומי אינטרנט. 

לדברי החוקרים, קבוצות תקיפה משתמשות ב-npm להפצת נוזקות, שכן היות ומדובר במאגר המהווה שרשרת אספקה - קוד פגום או זדוני שיופיע בו יופץ בכל אפליקציה שתעשה בו שימוש, לכלל משתמשיה. בקמפיין הנוכחי, שכונה על ידי החוקרים LofyLife, זוהו במאגר חבילות שהכילו את נוזקת LofyStealer, אשר הופצה באמצעות פלטפורמת הפגישות הווירטואליות Discord ואיפשרה לתוקפים לנטר סשנים פתוחים של משתמשים, התחברויות משתמשים לפלטפורמה, שינוי מייל או סיסמה, שינוי הגדרות האימות הרב-שלבי (MFA) והוספת שיטת תשלום חדשה לחשבון, לרבות הזנת פרטי בנק מלאים. לאחר שנאסף, המידע נשלח לעמדה מרוחקת שבבעלות התוקפים. אין זו הפעם הראשונה בה Lofy Stealer משמשת לתקיפת משתמשי Discord. בדצמבר האחרון, חוקרים מ-JFrog זיהו קבוצה של 17 חבילות npm זדוניות בעלות עומסים וטקטיקות משתנות, שהתמקדו בפלטפורמת Discord, לה 350 מיליון משתמשים. בפרסום המלא ניתן למצוא את מזהי התקיפה (IOCs), כפי שזוהו על ידי האנטי-וירוס של Kaspersky. מ-Kaspersky נמסר כי תמשיך לנטר את מאגרי הקוד הפתוח לזיהוי נוזקות והבאת דבר קיומן לידיעת משתמשים.

צוות קונפידס ממליץ להוריד אפליקציות ולהשתמש בחבילות קוד פתוח רק לאחר שהתברר שמקורן אמין. עוד מומלץ לבצע בדיקות שמטרתן לקבוע אם מתבצע בארגון שימוש במערכת שמשתמשת בספרייה אשר נפגעה בקמפיין.

​

תוקפים משתמשים בנוזקה המנצלת רוחב פס אינטרנטי לתקיפת שרתי MS-SQL ושימוש במשאבי מערכת

חוקרים מחברת אבטחת המידע AhnLab גילו התקנות לא מורשות של Proxyware, המאפשרות מכירת שימוש ברוחב פס אינטרנטי שאינו בשימוש. לאחר שמשתמש לגיטימי מוריד אפליקציה ייעודית ומצטרף דרכה למערכת של ספקית פלטפורמה למכירת רוחב פס, למשל Peer2Profit ו-IPRoyal, יש באפשרותו להרוויח כסף ממכירת שימוש ברוחב פס פנוי. בעשותו כן מסתכן המשתמש בכך שהאדם שלו מכר את רוחב הפס יבצע באמצעותו פעולות כמו איסוף מודיעין והפצת תכנים. תוקפים הגונבים שימוש ברוחב פס באמצעות התקנות שאינן מורשות עושים זאת למטרות רווח כספי, כאשר לפי חוקרי AhnLab שרתי MS-SQL מהווים מטרה לנוזקה שככל הנראה מתקינה את תוכנת ה-Proxy, אשר מופצת באמצעות Dictionary Attack (שיטת פריצה למחשבים, לרשתות או למשאבי IT אחרים המוגנים בסיסמה, על ידי הזנה שיטתית של כל מילה במילון כסיסמה). מכיוון שהסיסמאות של שרתי MS-SQL חלשות, מתאפשרים פריצה ושימוש במשאבי המערכת הנגועה, כמו במקרה של כריית מטבעות קריפטוגרפיים. הנוזקה מופצת באמצעות מודעות פרסומת או מותקנת על שרתי MS-SQL פגיעים, ולכן חוקרי AhnLab ממליצים להימנע מהתקנת תוכנות ממקורות שאינם ידועים, וכן לעדכן את השרתים לגרסאותיהם האחרונות. במקרה של שימוש בשרתי מסד נתונים, יש לנהל מדיניות בקרת גישה והגדרות אישורי חשבון.

צוות קונפידס ממליץ להזין את מזהי התקיפה (IOCs) במערכות הניטור של ארגונים.

​

לאחר חסימת פקודות המאקרו ביישומי Microsoft Office: תוקפים משתמשים בקובצי ארכוב להחדרת נוזקות

לאחר שמיקרוספט חסמה הרצת פקודות מאקרו כברירת מחדל (ראו ״הסייבר״, 28.7.22), חברת אבטחת המידע Proofpoint מפרסמת כי תוקפים החלו להשתמש בקובצי ארכוב דחוסים (ISO ,RAR ואחרים) אשר דורשים חילוץ באמצעות אפליקציות שונות לשם פתיחתם, על מנת לקבל גישה ראשונית למערכותיהם של קורבנות. 

הסיבה לעלייה בשימוש בקבצים מסוג זה היא יכולתם לעקוף את הגנות חסימת המאקרו שנקבעו ולאפשר גישה למערכות ללא שימוש בפקודות אלה. מיקרוסופט חוסמת את הרצתן של פקודות מאקרו על פי הסממן (Mark of the Web (MOTW, הידוע גם בשם Zone.Identifier, שמראה אם קובץ הורד מהאינטרנט או לא. מכיוון שהסממן ניתן למעקף על ידי שימוש ב-Container File Formats (פורמטים של קבצים המאפשרים הטמעת זרמי נתונים מרובים בקובץ בודד, למשל ZIP ו-RAR), תוקפים משתמשים בפורמטים מסוג זה למשלוח מסמכים התומכים בפקודות מאקרו. בעת ההורדה, לקבצים יהיה MOTW מכיוון שהורדו מהאינטרנט, אך למסמך שבתוכם, כגון גיליון אלקטרוני המאפשר הרצת מאקרו, לא יהיה כזה. לאחר חילוץ המסמך, המשתמש עדיין יצטרך להפעיל את האפשרות להריץ פקודות מאקרו כדי שהקוד הזדוני יבוצע באופן אוטומטי, אך מערכת הקבצים לא תזהה את המסמך ככזה שהגיע מהאינטרנט. נוסף על כך, תוקפים יכולים להשתמש ב-Container File Formats להפצת קבצים זדוניים באופן ישיר, שכן כאשר הם נפתחים הם עשויים להכיל תוכן נוסף, כגון LNKs, DLLs או קובצי הפעלה מסוג EXE., המובילים להתקנת תוכנה זדונית. החוקרים מעריכים שכיום זהו אחד מאיומי התקיפה באמצעות מייל הגדולים ביותר, וסביר להניח שתוקפים ימשיכו להשתמש ב-Container File Formats להפצת נוזקות, ויסתמכו פחות על צרופות התומכות במאקרו.
צוות קונפידס ממליץ להימנע מהורדת קבצים ממקורות שאינם ידועים, להתקין על כל מערכות הארגון מערכת אנטי-וירוס ו/או EDR ולעדכנה על בסיס קבוע, ולחסום קבלת קבצים מהסוגים האמורים, במידה ואינם חיוניים.

​

נחשפה רשת דומיינים רחבת היקף לפיתוי משתמשים לביצוע השקעות מזויפות 

חוקרים מחברת אבטחת המידע Group-IB חשפו לאחרונה רשת הכוללת יותר מ-11,000 דומיינים שמשמשים לקידום תוכניות השקעה מזויפות, כשעל הכוונת משתמשים ברחבי אירופה. המטרה: שימוש בהנדסה חברתית עמוקה לשכנוע קורבנות להעביר עוד ועוד כספים לפורטל השקעות מזויף, לרוב באמצעות הבטחות שווא לתשואה גבוהה במיוחד, תוך הצגת סיפורי ״איך התעשרתי״ בהשתתפות סלבריטאים, ודשבורד מזויף המציג תשואות נחשקות. ההונאה מופצת באמצעות מודעה ברשתות חברתיות, כאשר הרישום הראשוני ל״הזדמנות״ כרוך בהפקדת סכום של 250 אירו, לכל הפחות. כחלק מתהליך הרישום, מנהל מטעם ״החברה״ יוצר עם הקורבן קשר במטרה לעזור לו למקסם את רווחיו, כביכול, על ידי הפקדת סכום גדול יותר. בשלב האחרון של התרמית, ה״מנהל״ יבקש מהקורבן לבצע הפקדה נוספת, בטענה שסכום ההפקדות שביצע עד כה לא הגיע אל הסף הנדרש. במידה והקורבן מסכים להפקיד את הסכום הנוסף, הוא יקבל עוד ועוד בקשות לביצוע הפקדות, עד שיבין שנפל קורבן לתרמית, וכי כל הכסף שהשקיע עד כה נעלם.

צוות קונפידס ממליץ שלא למסור פרטים אישיים ו/או פיננסיים או להעביר כספים מבלי לוודא שמדובר באתר לגיטימי. כאשר מבקשים לבצע השקעות, מומלץ לבדוק באתרים ייעודים שאכן מדובר במתווך לגיטימי ואמין ולחפש ביקורות שכתבו אנשים שעמדו איתו בקשר ויוכלו לאשר את אמינותו. בנוגע לדומיינים מזויפים המשמשים לתרמית, קל לזהותם על סמך העובדה שלרוב חייהם קצר. אי לכך, מומלץ לבדוק את מועד רכישת הדומיין שדרכו נרשמים לביצוע ההשקעה, ולוודא שאינו חדש.

​

DawDropper: סוס טרויאני הגונב מידע בנקאי ממכשירי Android

דוח טכני של חוקרי חברת Trend Micro, חושף את אופן פעולתם של DawDropper והתוקפים העושים בו שימוש. מן הדוח עולה כי במקרה זה קובצי ה-Dropper הם אפליקציות טרויאניות המתחזות לשירותי פרודוקטיביות על מנת לחמוק מבדיקות האבטחה של חנות האפליקציות Google Play, כל זאת לשם התקנת נוזקות וגניבת נתונים רגישים מהקורבן. בסוף 2021 גילו החוקרים קמפיין זדוני אשר מינף גרסה חדשה של אפליקציות Banking Dropper המתחזות לאפליקציות שונות, כגון סורקי מסמכים, קוראי קוד QR, מקליטי שיחות ושירותי VPN, ואשר בפועל מניחות על עמדת הקורבן טרויאנים גונבי מידע בנקאי, למשל Octo ,Hydra ,Ermac ו-TeaBot. לשיטה יעילה זו יש ביקוש רב, והיא מוצעת על ידי האקרים כ-Dropper-as-a-Service, או Daas.

כדי לחמוק מזיהוי ולהשיג בצורה דינאמית כתובות להורדת ה-Payload, ה-Dropper משתמש ב-Firebase Realtime Database, שירות ענן לגיטימי של צד שלישי לאחסון נתוני NoSQL, אלא שבמקרה זה השירות משמש את התוקפים כשרת C2 ולאירוח מטענים זדוניים ב-GitHub. המאמר הנוכחי מתמקד בניתוח של נוזקת Octo, המסוגלת ליירט הודעות SMS, להשתלט על מכשיר הקורבן ולגנוב מידע בנקאי. לאחר הורדה מוצלחת של Octo אל המכשיר, היא משיגה הרשאות המאפשרות לה, בין היתר, להשאיר את המכשיר ״ער״, להקליט או להשחיר מסך, להשתיק את המכשיר לטשטוש פעילות זדונית ולהירשם לשירות מתוזמן אשר יפתח ערוץ תקשורת עם השרת המרוחק, כל זאת לשם איסוף והעברת נתונים בנקאיים רגישים, לרבות אישורים בנקאיים, כתובות מייל, סיסמאות וקודי PIN. עוד ביכולתה של הנוזקה להשבית את שירות ה-Google Play Protectֿ הסורק אפליקציות לזיהוי התנהגות זדונית, ולאסוף נתונים רגישים נוספים, בהם מספרי טלפון של אנשי קשר, אפליקציות המותקנות על המכשיר, הודעות ועוד.
צוות קונפידס ממליץ להוריד אפליקציות אך ורק ממקורות אמינים ולבדוק את הביקורות שנכתבו עליהן ואת מספר הפעמים שהורדו - נתונים אשר יכולים להוות אינדיקציה נוספת בנוגע לאמינותן.

​

חוקרי Kaspersky טוענים כי גילו בערכת השבבים של Intel נוזקת Rootkit שאינה ניתנת להסרה 

לדברי חברת אבטחת המידע, נוזקת CosmicStrand מותקנת בלוחות אם מתוצרת ASUS ו-Gigabyte, בהם מצויה ערכת השבבים של Intel שהושקה ברבעון השלישי של 2013 ושימשה את מעבדי ה-Core מהדור הרביעי ומעלה. נראה כי חולשה כלשהי בערכת השבבים אפשרה לתוקפים להתקין את הנוזקה, המקנה להם אחיזה וגישה מלאות למחשבים ולמידע השמור בהם. מכיווו שהתוכנה המפעילה את שבבי לוח האם פועלת בשלב ראשוני מאוד בעת אתחול המחשב, עוד בטרם נטענת מערכת ההפעלה, אין כמעט דרך להסיר את הנוזקה, וגם תוסר - היא תשוב ותתקין את עצמה בפעם הבאה שיאותחל המחשב. עד כה, חוקרי Kaspersky זיהו קורבנות של הנוזקה בסין, בווייטנאם, באיראן וברוסיה, כולם קורבנות פרטיים, שאינם קשורים לחברה או תעשייה ספציפיות. בשלב זה, הסברה היא כי מדובר בתוקף דובר סינית.

​

3,207 אפליקציות לטלפונים ניידים המאפשרות גישה לאפליקציית טוויטר נמצאו פרוצות; מפתחות ההצפנה של המשתמשים נחשפו 

על פי הדיווח, נחשפו מפתחות ה-API של משתמשי עשרות אפליקציות המתחברים דרכן לטוויטר, כאשר ב-230 מהאפליקציות נחשפו אישורי אימות המאפשרים לתוקף להשתלט על משתמשי טוויטר, ובכך למחוק ולהסיר עוקבים, לשנות את הגדרות המשתמש ואת תמונתו ועוד. ממשק ה-API משמש מפתחי אפליקציות המעוניינים לאפשר גישה מהאפליקציה לצד שלישי, במקרה זה לטוויטר. לשם כך, על מפתחים להשתמש באישורים הרלוונטיים. לפני העלאת האפליקציה לחנויות המכירה, המפתחים מוודאים כי הכל עובד כשורה, אך לעתים הם שוכחים להסיר מהאפליקציה את האישורים ״הייחודיים״, עמם ביצעו את הבדיקה, והאפליקציה מופצת ביחד איתם לקהל הרחב. טעות זו עלולה להיות מנוצלת על ידי תוקפים לשימוש באישורים על מנת להגיע לכל המשתמשים הנכנסים לטוויטר דרך אותה אפליקציה.

צוות קונפידס ממליץ לשנות מעת לעת את מפתחות ההצפנה של ה-API, בכדי למנוע ניצול במידה והקוד הקודם הודלף.

​

Manjusaka: נוזקה סינית חדשה המקבילה ל-Cobalt Strike

חוקרי צוות Talos של Cisco, שגילו את הנוזקה החדשה, מתייחסים אליה כמקבילה ל-Sliver ול-Cobalt Strike, תוכנות לגיטימיות לביצוע סימולציות מתקפה, שהפכו לכלי תקיפה לביצוע פעולות כמו סריקת רשתות, תנועה רוחבית ברשתות ועוד. Manjusaka (״פרח פרה״, בסינית), שמפתחיה מגיעים, ככל הנראה, ממחוז גואנגדונג שבסין, כתובה בשפת Rust והיא בעלת תשתית לביצוע מתקפות על מערכות מבוססות Windows ו-Linux. 

ממשק הנוזקה מופץ בחינם ויכול לייצר בקלות ובפשטות יישום שלה בעל הגדרות מיוחדות, דבר שעלול להוביל לניצול רחב של הנוזקה. יישומה של Manjusaka כולל יכולות Remote Access Trojan) RAT) רבות, בהן מספר פעולות סטנדרטיות, ממשק ניהול קבצים ייעודי ויכולות הרצת קוד, כריית פרטי כניסה (Credentials) מרוב הדפדפנים, איסוף סיסמאות WiFi, צילום תמונות מסך, קבלה מידע מקיף על המערכת הנתקפת ואף פריסת מערכת ניהול קבצים, שיכולה לאפשר את ביצוען של פעולות ניהול קבצים וספריות במערכת הנגועה. 

כל הפעולות הללו רלוונטיות למערכות מבוססות Windows ו-Linux, פרט לכך שב-Linux לא ניתן לאסוף פרטים מדפדפנים מבוססי Chrome וסיסמאות WiFi. בנוסף לממשק הנוזקה, כחלק מתשתיתה ישנו שרת C2 שנכתב בשפת Golang (פרטיו פורסמו והוא ניתן להורדה מ-GitHub) ואשר שולח בקשות HTTP לכתובת קבועה (http[:]//39[.]104[.]90[.]45/global/favicon.png) המכילה עוגייה קבועה ומוגדרת מראש. עוגייה זו כוללת בקשת HTTP נוספת, המקודדת ב-base64, שבתורה רושמת את העמדה לשרת ה-C2. ממשק ה-C2 יכול לנטר ולנהל עמדות נגועות ולהעביר חבילות זדוניות למערכות Windows ול-Linux, אך רבות מהפונקציות שלו אינן זמינות בגרסה החינמית של הנוזקה, דבר שיכול להעיד על כך שהנוזקה עדיין בשלבי פיתוח, או שהמפתח מפיץ גרסה נוספת בתשלום, הכוללת את הפונקציות הללו. אלמנט נוסף שכלול בתשתית הנוזקה הוא פאנל אדמין לניהול, המאפשר לתוקפים ליצור גרסאות מקוסטמות של יישום הנוזקה בשפת Rust, כאשר גם פאנל הניהול וגם שרת ה-C2 נבנו על בסיס Gin Web Framework. 

צוות Talos חשף את הנוזקה במהלך חקירת מסמך Word שהופץ כמסמך בנושא התפרצות של נגיף הקורונה בעיר גולמוד שבמחוז צ׳ינגהאי, מה שמהווה חלק בפאזל של קביעת לוח הזמנים של פעילות הנוזקה. זאת ועוד, הנוזקה נכתבה בשפת תכנות מודרנית, שמאפשרת לכותב להוסיף בקלות פלטפורמות למתקפה, כמו מערכות הפעלה של Mac או גרסאות ״אקזוטיות״ יותר של Linux.

​

קמפיין Adversary-in-The-Middle רחב היקף נגד משתמשי Microsoft Mail Service

ביוני 2022 הבחינו חוקרי אבטחת מידע של ThreatLabz בעלייה בשימוש בכלי פישינג מתקדמים בקמפיין רחב היקף, בו זוהו מספר דומיינים חדשים ששימשו למתקפות פישינג לצורך גניבת משתמשים. הקמפיין בלט באופן מיוחד, בין היתר בשל שימוש במתקפת Adversary-in-The-Middle או AiTM, תוך עקיפת מנגנון האימות הדו-שלבי (2FA) של מיקרוסופט. התוקפים נצפו משתמשים במספר טכניקות על מנת להישאר ״מתחת לרדאר״ בשלבים שונים של המתקפה, כשמטרתם לעקוף את פתרונות אבטחת המייל והרשת ולהגיע למשתמשי הקצה שמאחורי חשבונות של ארגונים המנהלים את סביבת המייל שלהם באמצעות שירותי המייל של מיקרוסופט. מרבית הארגונים שנתקפו מצויים בארצות הברית, בבריטניה, בניו זילנד ובאוסטרליה, רובם באמצעות דומיינים שהתחזו לאיגודי אשראי פדרליים, בשגיאת כתיב מסוימת, לדוגמה:
דומיין לגיטימי: crossvalleyfcu[.]org
דומיין מתחזה: crossvalleyfcv[.]org

נראה כי רוב המתקפות החלו במייל זדוני שנשלח אל מנכ״ל הארגון. לאחר מכן נעשה שימוש ב-Business Email Compromise, או BEC, להפצת המיילים בדרך זהה אל שאר משתמשי הארגון באמצעות משתמש המנכ״ל. על מנת לעקוף את מנגנוני ה-2FA השתמשו התוקפים בטכניקה שונה מאלה שנצפו בקמפייני פישינג אחרים לצורך גניבת משתמשים. הטכניקה הקונבנציונלית מתבססת על דף פישינג המאחסן את שם המשתמש והסיסמה במאגר מסוים אליו יכול התוקף לגשת במועד מאוחר יותר. במידה והמשתמש מוגן באימות דו-שלבי, לא ניתן למנף את גניבת המשתמש, מכיוון שלתוקף אין גישה לכך. לכן, התוקפים בקמפיין האמור משתמשים בטכניקת Adversary-in-The-Middle לביצוע אימות לחשבון המשתמש באופן ישיר בעת הזנת הפרטים על ידי הקורבן. בצורה זו דף הפישינג מתווך בין הקורבן לבין שרת האימות של מיקרוסופט, כאשר הקורבן מזין את קוד ה-2FA בזמן אמת ומועבר ישירות אל שרת האימות של מיקרוסופט.

לצורך חקירת פעולות התוקף לאחר נפילת הקורבן ברשת, צוות החוקרים של ThreatLabz הקים משתמש דמה, ביקר באחד הדומיינים של התוקף, הזין בו פרטים והשלים את תהליך ה-2FA. הדבר איפשר לחוקרים לזהות שכעבור 8 דקות התוקף התחבר מכתובת IP שונה מזו של ערכת ה-AiTM שהיתה בדומיין בו ביקרו החוקרים, דבר המעיד על כך שהוא מבצע את הפעולות באופן ידני. לאחר חשיפת חשבון הדמה, התוקף התחבר אל המשתמש, צפה בפרטי הפרופיל וקרא הודעות בתיבת המייל.