هکرها صفحات ورود Microsoft ADFS را جعل می‌کنند تا اعتبارنامه‌ها را سرقت کنند

یک کمپین فیشینگ هدفمند که خود را به عنوان تیم پشتیبانی فنی سازمان‌ها معرفی می‌کند، با استفاده از صفحات ورود جعلی مایکروسافت اکتیو دایرکتوری فدریشن سرویسز (Microsoft ADFS) اقدام به سرقت اطلاعات کاربری و دور زدن سیستم‌های احراز هویت چندعاملی (MFA) می‌کند. بر اساس گزارش شرکت امنیتی Abnormal Security که این حمله را کشف کرده، این کمپین حداقل ۱۵۰ هدف را در بخش‌های آموزش، بهداشت و درمان، و سازمان‌های دولتی مورد هدف قرار داده است.

مهاجمان با ارسال ایمیل‌هایی که ظاهراً از سوی تیم فنی سازمان ارسال شده، از کاربران می‌خواهند برای به‌روزرسانی تنظیمات امنیتی یا پذیرش سیاست‌های جدید وارد سیستم شوند. پس از کلیک روی لینک، قربانیان به صفحه‌ای جعلی هدایت می‌شوند که دقیقاً شبیه صفحه ورود واقعی ADFS سازمان‌شان است و از آن‌ها نام کاربری، رمز عبور و کد MFA درخواست می‌کند. این قالب‌های فیشینگ قابلیت دور زدن انواع مختلف سیستم‌های MFA از جمله Microsoft Authenticator، Duo Security و تأیید پیامکی را دارند. پس از دریافت اطلاعات، مهاجمان فوراً وارد حساب قربانی شده و اقدام به سرقت داده‌ها، ایجاد قوانین فیلتر ایمیل جدید و انجام حملات فیشینگ جانبی می‌کنند.