{"id":27974,"date":"2026-07-01T11:49:40","date_gmt":"2026-07-01T09:49:40","guid":{"rendered":"https:\/\/itbranschen.com\/?p=27974"},"modified":"2026-07-01T12:48:37","modified_gmt":"2026-07-01T10:48:37","slug":"barracuda-nattfiske-i-microsoft-365","status":"publish","type":"post","link":"https:\/\/itbranschen.com\/nb\/barracuda-natfiske-microsoft-365\/","title":{"rendered":"Legitim Microsoft-p\u00e5logging utnyttet i phishing-kampanje"},"content":{"rendered":"

Angripere bruker ekte Microsoft-p\u00e5logginger, skjuler phishing-lenker i PDF-vedlegg og bruker ulike metoder for \u00e5 omg\u00e5 sikkerhetskontroller i e-postmilj\u00f8er, if\u00f8lge Barracuda Networks\u2019 siste Email Threat Radar-rapport, som beskriver flere nylige angrep rettet mot organisasjoner og deres ansatte.<\/strong><\/p>\n\n\n\n

Et av angrepene som er beskrevet involverer angripere som bruker Tycoon 2FA, en phishing-plattform som en tjeneste, og en legitim Microsoft-p\u00e5loggingsside i stedet for en falsk en. M\u00e5let er \u00e5 f\u00e5 brukeren til \u00e5 logge p\u00e5 og dermed fange opp \u00f8kttokener og legitimasjon, som kan gi tilgang til e-post, filer og Microsoft 365-tjenester.<\/p>\n\n\n\n

Angrepet starter med en e-post som advarer om at innboksen er i ferd med \u00e5 fylles opp. Meldingen inneholder en kalenderinvitasjon til et angivelig m\u00f8te med Microsofts sikkerhetsteam og en knapp for \u00e5 frigi holdte e-poster.<\/p>\n\n\n\n

Knappen f\u00f8rer til en ekte Microsoft-p\u00e5logging, men som er tilgjengelig via angripernes egen registrerte applikasjon i Tycoon 2FA-plattformen. N\u00e5r brukeren logger seg inn, registreres \u00f8kt-ID-en. I neste trinn blir brukeren bedt om \u00e5 oppgi p\u00e5loggingsinformasjonen sin p\u00e5 en falsk side, noe som ogs\u00e5 gir angriperne tilgang til passordet.<\/p>\n\n\n\n

Lenker er skjult i PDF-vedlegg
<\/strong>Rapporten beskriver ogs\u00e5 angrep der mistenkelige lenker har blitt flyttet fra e-postens br\u00f8dtekst til et PDF-vedlegg.<\/p>\n\n\n\n

Kampanjen som analyseres ber mottakeren om \u00e5 \u00e5pne et vedlegg relatert til for eksempel samsvar med regelverk eller betalinger. Lenken i dokumentet f\u00f8rer til en autentiseringsprosess som ligner en legitim p\u00e5logging og samler inn brukerlegitimasjon og e-postadresse.<\/p>\n\n\n\n

I disse tilfellene genereres enhetskoder lokalt i nettleseren i stedet for \u00e5 bruke ekte Microsoft API-er. Dette etterligner prosessen som brukes for \u00e5 knytte enheter til Microsoft-kontoer. Svindelkoden bruker ogs\u00e5 CAPTCHA-er og phishing-sider som utl\u00f8per etter en viss tidsperiode.<\/p>\n\n\n\n

Knapp med to forskjellige resultater i samme e-post
<\/strong>Et annet angrep bruker en s\u00e5kalt \u201dsplit-click\u201d-teknikk, der den samme knappen har forskjellige funksjoner avhengig av hvor brukeren klikker.<\/p>\n\n\n\n

I det observerte tilfellet f\u00f8rer det \u00e5 klikke p\u00e5 den \u00f8vre delen av knappen til en legitim Microsoft-side, mens den nedre delen f\u00f8rer til en phishing-side via en s\u00e5kalt blob-URL generert i nettleseren.<\/p>\n\n\n\n

Phishing brukes ogs\u00e5 til \u00e5 spre skadelig programvare
<\/strong>If\u00f8lge rapporten brukes phishing i noen tilfeller ogs\u00e5 til \u00e5 levere skadelig kode, i tillegg til \u00e5 samle inn innloggingsdetaljer.<\/p>\n\n\n\n

Blant eksemplene som er fremhevet er:<\/strong><\/p>\n\n\n\n