Het Greatness-platform, oorspronkelijk een phishingkit, is geëvolueerd tot een geavanceerde phishing-as-a-service dienst. Het biedt kant-en-klare lokmiddelen, configureerbare domeinen en tools om accounts van Microsoft 365, iCloud, Yahoo en Google Workspace te compromitteren. Het platform is speciaal ontworpen om toegang te verkrijgen tot Microsoft 365 door het vastleggen van geldige inlogtokens.

Recentelijk werd een campagne waargenomen die nagemaakte e-mails gebruikte die zich voordeden als RingCentral. Deze e-mails, die verwezen naar voicemail of prestatiebeoordelingen, verzochten ontvangers om een vermeende opname of beoordeling te openen. De aanvalsleveringsketen begint met het imiteren van een vertrouwd merk en kan, via verschillende omleidingen, leiden naar een door de aanvaller gecontroleerde pagina. Hoewel deze phishingberichten de SPF-, DKIM- en DMARC-authenticatiecontroles niet doorstonden, overschreven domeingebaseerde uitsluitingen voor veilige afzenders deze falen. Dit illustreert hoe e-mailbeveiliging kan worden ondermijnd door configuratiefouten.

Greatness combineert real-time login relays, device-code phishing en een centraal beheerde operator service die opereert via Telegram. Het platform detecteert geautomatiseerde browsers en vereist dat bezoekers een menselijke verificatiestap voltooien. Daarnaast biedt Greatness een device-code route, waarbij frauduleuze documentgerelateerde pagina's gebruikers aansporen een code in te voeren en een legitieme aanmelding goed te keuren.

In de laatste fase fungeert Greatness als een live relay tussen het slachtoffer en Microsoft 365. Het slachtoffer ziet de herkenbare branding van zijn organisatie en doorloopt de standaard multi-factor authenticatie (MFA) prompt. De relay ontvangt vervolgens het uitgegeven authenticatietoken, waardoor de aanvaller MFA niet direct hoeft te omzeilen. Een vastgelegd token kan leiden tot ongeautoriseerde toegang tot Outlook, Teams, SharePoint, OneDrive, agenda's, contacten en geregistreerde applicaties. Analisten van ZeroBEC ontdekten deze activiteit bij het onderzoeken van vier e-mails gericht aan een beveiligde organisatie.

Het gedeelde backend van het platform maakt het mogelijk voor aanvallers om de campagne-infrastructuur aan te passen, terwijl de kernoperationele patronen gehandhaafd blijven. Dit betekent dat het blokkeren van specifieke infrastructuur weliswaar kan helpen, maar dat het monitoren van gedrag cruciaal is, aangezien phishingoperators domeinen en proxy-nodes snel kunnen vervangen.

Organisaties worden geadviseerd om lijsten met veilige afzenders en transportregeluitsluitingen te auditen, met name voor veelgebruikte softwareleveranciers. Een domein mag alleen uitzonderingen krijgen als de e-mails van dat domein ook de verwachte authenticatiecontroles doorstaan. Kennisgevingen over inbreuken bij leveranciers zouden een soortgelijke herziening moeten triggeren. Teams kunnen de detectie verbeteren door te controleren op consistentie tussen de afzender, het geclaimde merk en het bestemmingsdomein. Beveiligingsteams moeten zoeken naar genoemde domeinen, proxyadressen, onverwachte Laravel cookies en snelle toegang tot diverse Microsoft 365-services vanaf een nieuw netwerk. MFA-goedgekeurde aanmeldingen die afkomstig zijn van hosting- of VPN-infrastructuur die niet overeenkomt met de gebruikelijke locatie of apparaten van een gebruiker, vereisen nader onderzoek.

Alleen een wachtwoordreset is mogelijk niet voldoende om de toegang te verwijderen, aangezien bestaande tokens en refresh tokens nog steeds actief kunnen zijn. Na een vermoedelijke AiTM-compromis moeten responsteamleden alle actieve en refresh tokens intrekken, referenties roteren, mailboxregels en OAuth-toestemmingen inspecteren en de activiteit in Microsoft Graph beoordelen. Onderzoekers moeten actieve sessies in Entra ID beëindigen, de toestemmingen van OAuth-apps beoordelen en zoeken naar onbekende aanmeldingen die MFA reeds hebben doorstaan.