Ataki płacowe Storm-2755 wymierzone w pracowników w Kanadzie

Wprowadzenie

Microsoft Incident Response opublikował nowe ustalenia dotyczące Storm-2755, aktora zagrożeń prowadzącego tak zwane ataki payroll pirate przeciwko użytkownikom w Kanadzie. Dla zespołów IT i bezpieczeństwa ta kampania jest istotna, ponieważ łączy SEO poisoning, malvertising oraz phishing adversary-in-the-middle (AiTM) w celu przejmowania uwierzytelnionych sesji i przekierowywania wypłat pracowników.

To ma znaczenie nie tylko w Kanadzie: zastosowane techniki mogą zostać wykorzystane ponownie przeciwko każdej organizacji korzystającej z Microsoft 365 oraz internetowych platform HR lub payroll.

Co nowego

Microsoft podaje, że Storm-2755 stosował odrębny łańcuch ataku skoncentrowany na szerokim geograficznym targetowaniu użytkowników w Kanadzie, a nie na jednej branży.

Kluczowe zaobserwowane techniki

• SEO poisoning i malvertising kierowały ofiary do domen kontrolowanych przez atakujących po wyszukiwaniach takich jak „Office 365” i podobnych literówkach.
• Ofiary były przekierowywane na fałszywą stronę logowania Microsoft 365, zaprojektowaną do kradzieży poświadczeń i tokenów sesji.
• Aktor wykorzystywał techniki AiTM do przechwytywania cookies sesji i tokenów OAuth, co pozwalało mu obejść MFA nieodporne na phishing.
• Microsoft zaobserwował podejrzaną aktywność user-agent Axios 1.7.9 i powiązał ten schemat ze znanymi nadużyciami związanymi z Axios, w tym z obawami dotyczącymi CVE-2025-27152.
• Po uzyskaniu dostępu Storm-2755 wyszukiwał zasoby związane z payroll i HR, a następnie podszywał się pod pracowników w wiadomościach e-mail o temacie takim jak „Question about direct deposit.”
• W niektórych przypadkach aktor tworzył także reguły skrzynki odbiorczej, aby ukrywać wiadomości zawierające terminy takie jak „direct deposit” lub „bank”.

Wpływ na administratorów i organizacje

Najbardziej bezpośrednim ryzykiem jest bezpośrednia strata finansowa. Po przejęciu konta atakujący może wykorzystywać legalne sesje, aby wtopić się w normalną aktywność biznesową, co utrudnia wykrycie.

Administratorzy powinni również pamiętać, że tradycyjne MFA nie zawsze wystarcza przeciwko kradzieży tokenów. Ponieważ ataki AiTM odtwarzają uwierzytelnione sesje, organizacje polegające na starszych metodach MFA mogą nadal pozostawać narażone.

Co zespoły IT powinny zrobić teraz

Microsoft zaleca nadanie priorytetu zabezpieczeniom ograniczającym możliwość ponownego użycia tokenów i skuteczność phishingu.

Działania do podjęcia

• Wdróż MFA odporne na phishing, takie jak FIDO2/WebAuthn.
• Przejrzyj logi logowania pod kątem błędu 50199, nietypowej ciągłości sesji oraz aktywności user-agent Axios.
• Monitoruj powtarzające się logowania nieinteraktywne do aplikacji takich jak OfficeHome, Outlook, My Sign-Ins i My Profile.
• Przeprowadź audyt reguł skrzynki odbiorczej pod kątem słów kluczowych związanych z bankowością lub direct deposit.
• Zbadaj podejrzany dostęp do platform HR i payroll, takich jak Workday.
• Unieważnij aktywne tokeny sesji i zresetuj poświadczenia dla kont podejrzewanych o przejęcie.
• Edukuj użytkowników w zakresie phishingu w wynikach wyszukiwania i fałszywych stron logowania Microsoft 365.

Najważniejszy wniosek

Storm-2755 pokazuje, jak nowoczesne kampanie phishingowe ewoluują od prostej kradzieży poświadczeń do przejmowania sesji z realnym wpływem finansowym. Organizacje korzystające z Microsoft 365 powinny zweryfikować stosowane metody uwierzytelniania odpornego na phishing, wzmocnić monitorowanie anomalii w logowaniach oraz skoordynować działania zespołów bezpieczeństwa i HR w zakresie procesów weryfikacji zmian danych payroll.