新フィッシングサービス「Rockstar 2FA」がMicrosoft 365アカウントを標的に

佐々山 Tacos

2024.12.02

新フィッシングサービスRockstar 2FAがMicrosoft 365アカウントを標的に

BleepingComputer – November 29, 2024

今年8月から脅威アクターたちの間で人気を増しつつある新たなフィッシング・アズ・ア・サービス（PhaaS）プラットフォーム「Rockstar 2FA」について、Trustwaveが報告。このPhaaSによって、Microsoft 365などの認証情報を盗む大規模な中間者（AiTM）攻撃が円滑に行えるようになるという。なおTrustwaveによれば、Rockstar 2FAは2023年前半・後半にそれぞれ人気を博したフィッシングキットDadSecおよびPhoenixのアップデートバージョンであるとされる。

関連記事：GmailとMS 365の利用者は注意を：フィッシングキット「Tycoon 2FA」の概要と対策

AiTMプラットフォームといえば、標的アカウントに設定された二要素認証（2FA）や多要素認証（MFA）を回避することを目的に使われるサイバー犯罪ツール。Rockstar 2FAもこの点は同様で、有効なセッションクッキーを傍受することによりMFAのバイパスを可能にする。もう少し具体的には、まずターゲットユーザーをMicrosoft 365のログインページに見せかけたフィッシングページへ誘導し、そこにログイン認証情報を入力させるよう仕向ける。この際、Rockstar 2FAのサーバーはプロキシとして機能し、入力された認証情報を正規のマイクロソフトサービスへと転送。ユーザーにより正規の認証プロセスが完了されると、当該サービスからユーザーへ送り返されるクッキーを窃取する。そしてこのクッキーを使うことで、攻撃者は認証情報を入力したりMFAをクリアしたりせずとも、ターゲットユーザーのアカウントへダイレクトにアクセスできるようになる。

Rockstar 2FAはTelegramやその他のプラットフォームなどで宣伝されており、2週間200ドルという価格で販売されている。また2週間ごとのAPI更新サービスは180ドル。広告では多様な機能とともに「対ボット保護」が謳われているが、これはCloudflare Turnstileチャレンジを利用してボットをフィルタリングするというもの。フィッシングサイトを訪れようとしたのがボットやセキュリティ研究者、もしくはその他の望まれないユーザーだった場合、これらは無害なデコイページへリダイレクトされるようになっているという。

今年8月には別のPhaaSプラットフォーム「LabHost」が法執行機関によりテイクダウンされたばかりだが、今回のRockstar 2FAの登場と人気ぶりにより、フィッシングオペレーターたちが相変わらずこうした不法サービスの提供を続けていることが浮き彫りになった。低コストで利用可能なこうしたコモディティツールが出回り続ける限り、大規模かつ効果的なフィッシングキャンペーンのリスクは重大なものであり続けるだろうとBleepingComputerは評価している。