New ‘Knight Office’ Phishing Kit Steals Microsoft 365 Logins Without Touching a Password

Phần mềm độc hại Knight Office hoạt động như một dịch vụ phishing, nhắm vào tài khoản Microsoft 365 bằng cách đánh cắp token phiên đăng nhập đang hoạt động thay vì mật khẩu, qua đó vượt qua xác thực đa yếu tố (MFA). Kẻ tấn công gửi email giả mạo theo phong cách DocuSign, sau đó điều hướng nạn nhân qua các dịch vụ hợp pháp như Monday.com và một website Joomla bị xâm nhập để đến trang đăng nhập thiết bị Microsoft giả mạo. Sau khi nạn nhân hoàn tất đăng nhập thật và MFA, token phiên live bị chặn và tái sử dụng từ hạ tầng data-center, né tránh các biện pháp phát hiện dựa trên mật khẩu. Kẻ tấn công còn đăng ký thiết bị độc hại và gắn kết chứng chỉ Windows Hello for Business vào tài khoản bị xâm nhập để duy trì quyền truy cập. Huntress ghi nhận ít nhất 9 cuộc tấn công xác nhận trong hai tuần và hơn 700 email tương tự báo cáo từ tháng 4, đồng thời công bố các chỉ dấu xâm nhập (IOC) bao gồm IP bảng điều khiển, tên miền lưu trữ và hàng chục tên miền giả mạo .vu.