PhantomDOM использует удалённый браузер для фишинга Microsoft 365

PhantomDOM использует удалённый браузер Chromium для аутентификации в Microsoft 365, показывая жертве реконструированное DOM-дерево. В контролируемом тестировании исследователи подтвердили доступ через Outlook Web к двум тестовым сообщениям, но не массовый экспорт. Активность Microsoft 365 Chat и API Substrate LLM не доказывает использование Copilot: исследователи воспроизвели её в чистой сессии.

Фишинг и удалённый браузер

Операция начиналась с письма, в котором находился только PDF-файл, имитирующий уведомление о совместном использовании документа в SharePoint. Ссылка проходила через перенаправляющие сервисы и проверки отпечатка браузера, в том числе Cloudflare Turnstile, прежде чем вести на постоянно меняющиеся фишинговые хосты.

Между этапами кампании передавались краткоживущие JWT-токены с алгоритмом HS256. Они содержали сведения о кампании, проекте, пользователе, адресе электронной почты и хосте аутентификации. Просмотрщик на устройстве жертвы взаимодействовал с удалённым браузером через WebSocket.

Восстановленный JavaScript реализует собственные снимки DOM и патчи с поддержкой фреймов и Shadow DOM. Он передаёт на удалённый браузер ввод с клавиатуры, изменения текста и выделения, а также другие действия пользователя. Сессия идентифицирует свой бэкенд как patchright-chrome и поддерживает подтверждения, повторное воспроизведение, ресинхронизацию и переподключение. Интерфейс оператора позволяет следить за удалённым браузером и взаимодействовать с ним.

После завершения сессии перехваченный код перенаправляет пользователя на подлинную страницу ошибки DocuSign. Это может маскировать завершённую атаку под ошибку ссылки на документ.

Результаты тестирования и расследование

Активность аутентификации в Microsoft 365 с двух IP-адресов исходящего трафика была связана общим идентификатором сессии Entra. Журналы Exchange Online зафиксировали успешный доступ через Outlook Web к двум идентифицированным тестовым сообщениям. Аудиторские данные подтверждают доступ к этим элементам, но не массовый экспорт.

Сессия обращалась к легитимному поиску Microsoft 365 и инициализировала связанные службы Microsoft 365 Chat. Исследователи воспроизвели активность токена Chat и API Substrate LLM в чистой сессии. Это указывает на стандартные паттерны при запуске, а не на использование Copilot. При первом использовании создались личная папка OneDrive и папка Copilot Chat Files, но последняя осталась пустой, а запросов к Copilot не было. Были получены параметры создания ключа доступа (passkey), однако доказательств успешной регистрации нет.

Авторы отчёта рекомендуют расследовать подозрительные PDF-приманки, цепочки перенаправлений, маршруты сессий через фишинговые хосты, WebSocket-трафик и отпечатки просмотрщиков, включая __mirrorEditing, data-mirror-id и протокол снимков, патчей и действий. Также они советуют сопоставлять сессии провайдера идентификации с доступом к почтовым ящикам, изменениями аутентификации, выдачей разрешений OAuth и активностью в OneDrive, отличая прямые операции рабочих нагрузок от рутинной инициализации служб.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.