La piattaforma Greatness ha integrato il device code phishing al proprio arsenale di bypass MFA, combinandolo con credential e token theft via AiTM proxy e OAuth consent abuse in un'unica interfaccia operatore. L'analisi di ZeroBEC pubblicata l'11 agosto 2026 documenta l'infrastruttura condivisa che rende i token operatore interoperabili tra domini diversi, abbassando la soglia tecnica per attaccanti meno sofisticati. La scoperta conferma la maturazione del modello PhaaS da kit isolati a piattaforma SaaS-like con multiple tecniche di compromissione integrate.
- Greatness combina AiTM credential theft, device code phishing e OAuth consent abuse nella stessa interfaccia operatore con backend centralizzato.
- I token operatori sono interoperabili cross-domain: un singolo token '4am16l1tm' funziona su più domini phishing, provando l'infrastruttura condivisa.
- Il device code flow sfrutta la legittima funzionalità OAuth di Microsoft, rendendo più difficile il rilevamento basato su URL malevoli.
- Le safe sender exclusions basate su dominio — non su autenticazione condizionale — hanno permesso il bypass completo dei gateway email nonostante SPF, DKIM e DMARC falliti.
La campagna live: quattro email in secondi, tutte "sicure" per configurazione
L'analisi ZeroBEC ha preso avvio da una campagna osservata il 22 luglio 2026: quattro email di phishing recapitate alla stessa organizzazione in pochi secondi, tutte con mittente spoofato service@ringcentral.com e subject line personalizzata. Le quattro email sono state quarantenate dal sistema di ricerca, ma il loro passaggio attraverso la rete target rivela un meccanismo di bypass sistematico.
Il dossier mostra risultati SPF, DKIM e DMARC tutti falliti. Nonostante ciò, le email sono state classificate con SCL -1: "message explicitly marked as safe, all filtering bypassed". La causa è documentata nei log come "action overridden by safe sender exclusion". Le esclusioni erano configurate per dominio — trustare qualsiasi email che dichiari provenienza da ringcentral.com — piuttosto che per autenticazione condizionale.
Come sottolinea l'analisi ZeroBEC: "The security stack was not broken. It was working exactly as configured. The vulnerability was the configuration itself". La piattaforma Greatness sfrutta questa falla umana-organizzativa combinandola con tecniche tecniche avanzate, creando un attacco dove la sicurezza funziona esattamente come configurata, e quella configurazione è sbagliata.
Il backend centralizzato: scoperto dal codice sorgente della pagina device code
La struttura di Greatness si distingue per l'architettura centralizzata, non per domini isolati. L'analisi della pagina device code ha rivelato la funzione poll() JavaScript che chiamava greatwallwebsite[.]blog/admin/apifiles[.]php, esponendo il pannello amministrativo. Da questa scoperta, i ricercatori hanno verificato l'interoperabilità cross-domain: il token operatore '4am16l1tm' è risultato valido su xdccoc[.]top, nawarra[.]top e onewayoutolook[.]one, dimostrando che tutti i domini condividono lo stesso backend.
Il pannello amministrativo ospita almeno 11 template lure scaricabili per gli operatori: AudioLogin, ChatAssistance, WindowsExplorer, Voicemail, OneDrive, QR, VideoPlayer. I nuovi domini phishing identificati dal panel includono hashmiaghayi[.]cfd, addtoitinnew[.]sbs, willgrantitinfewsecondafter[.]cfd, lookatemailplease[.]one e pleasebepatienttoload[.]sbs. Questa standardizzazione del tooling è il tratto distintivo del modello PhaaS maturo: l'operatore acquista accesso, seleziona il template, ottiene l'interoperabilità cross-domain senza gestire infrastruttura propria.
Post-compromise: VPN commerciali e enumerazione Microsoft 365
Dopo l'accesso iniziale, gli operatori documentati da ZeroBEC usano almeno tre servizi VPN commerciali: ExpressVPN, EventVPN/Netshield e PIA. L'IP 158.173.166[.]3, associato a PIA con exit node a Oslo, è stato osservato il 2 agosto 2026 per attività post-compromise. Il proxy AiTM più comune nella campagna analizzata risiede su 38.248.95[.]214, VPS di Limestone Networks/OneProvider sulla porta 8443.
L'attività post-compromise include enumerazione Microsoft 365 tramite Microsoft Graph API da subnet 46.173.240[.]0/24, con targeting di Outlook, Teams, SharePoint, Exchange e OneDrive. Le vittime, dopo il furto delle credenziali, vengono reindirizzate a documenti legittimi di raymondjames[.]com come decoy benigno. Questa sequenza — phishing, cattura token, accesso persistente via API, decoy — è eseguita attraverso l'interfaccia centralizzata Greatness senza richiedere competenze di sviluppo da parte dell'operatore.
"Greatness supports AiTM credential and token theft, device code phishing, and OAuth consent abuse, all from the same operator panel and shared backend infrastructure"
Il contesto storico: da Cisco Talos a Sekoia, il tracking di una piattaforma in evoluzione
Greatness è documentata fin dal 2022: il report Cisco Talos del maggio 2023, ripreso da BleepingComputer e HALOCK, ne traccia il lancio a metà 2022, con picchi di attività a dicembre 2022 e marzo 2023. Le campagne storiche hanno targettizzato primariamente settori manufacturing, healthcare e technology in Stati Uniti, Regno Unito, Australia, Sud Africa e Canada. Il settore financial services è coerente con la ricerca HALOCK, che colloca Greatness nel mirino di istituzioni finanziarie.
URLQuery traccia campagne Greatness con il tag 'honeystorm', con oltre 50 campagne documentate da aprile 2026 secondo la fonte ZeroBEC. Sekoia documenta la piattaforma tramite detection rules dedicate, con regole specifiche per Microsoft Entra ID Device Code Authentication. Questa presenza multipla nei feed di threat intelligence — nonostante la data anomala dell'analisi primaria — conferma la persistenza operativa della piattaforma nel tempo.
Perché è importante
Il dossier non specifica misure correttive specifiche per le organizzazioni target. Non emerge se Microsoft abbia classificato il device code flow come high-risk nel contesto di Greatness, sebbene la funzionalità OAuth sia nota come vettore di abuso. La fonte primaria non documenta il pricing model di Greatness, né se sia identico al modello Forg365 citato come contesto settoriale ($400 mensili, $3,800 annuali). Il numero esatto di vittime della variante device code non è dichiarato.
La data dell'analisi ZeroBEC — 4 agosto 2026 — appare futuristica rispetto al contesto delle altre fonti, che si fermano al 2023. L'evidence map tecnica resta verificabile indipendentemente: i meccanismi di interoperabilità token, la scoperta del panel tramite analisi sorgente, e l'osservazione di post-compromise con VPN commerciali sono documentati con dettagli sufficienti a replica tecnica.
La convergenza di AiTM e device code in un'unica piattaforma PhaaS commercializzata rappresenta un punto di maturazione del settore: il barrier to entry per operatori meno sofisticati si abbassa, mentre le strategie difensive basate su rilevamento URL o consapevolezza utente devono confrontarsi con un flusso OAuth legittimo che non richiede interazione diretta con siti malevoli. La classificazione del device code flow come high-risk da Microsoft — se applicata — non risolve la vulnerabilità di configurazione rappresentata dalle safe sender exclusions basate su dominio.
La piattaforma Greatness non introduce tecniche nuove nel panorama threat: il device code phishing è noto. Ciò che integra è l'orchestrazione in infrastruttura condivisa, distribuita via Telegram, con token interoperabili e template standardizzati. Questa evoluzione da kit a piattaforma è il trend che il dossier documenta, e che le strategie difensive devono ricalibrare.
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.
Fonti
- https://zerobec.com/blog/greatness-phaas-aitm-and-device-code-phishing
- https://www.bleepingcomputer.com/news/security/new-greatness-service-simplifies-microsoft-365-phishing-attacks/
- https://zerobec.com/blog/inside-forg365-telegram-distributed-sneaky2fa-style-phaas
- https://docs.sekoia.com/xdr/features/detect/built_in_detection_rules
- https://urlquery.net/
- https://www.halock.com/greatness-could-be-awfulness-for-microsoft-365-users/