W szeroko zakrojonej kampanii wykrytej przez Huntress, napastnicy zdołali przejąć dostęp do skrzynek pocztowych w 79 różnych organizacjach. Kluczem do sukcesu nie było łamanie haseł, lecz kradzież tokenów sesji za pomocą ataków typu Adversary-in-the-Middle (AiTM) oraz phishingu opartego na kodach urządzeń (device-code phishing). Dzięki temu atakujący mogli ominąć uwierzytelnianie wieloskładnikowe (MFA), ponieważ dysponowali gotowym tokenem wydanym po poprawnym zalogowaniu.
Po uzyskaniu dostępu, sprawcy stosowali technikę określaną jako token spraying, masowo wykorzystując skradzione dane z serwerów w Niemczech. Aby utrzymać stałą obecność w systemach, rejestrowali własne, fałszywe urządzenia w katalogach Microsoft Entra oraz podmieniali metody MFA na własne, co pozwalało im na samodzielne autoryzowanie nowych logowań nawet po zmianie hasła przez ofiarę.
Wewnątrz skrzynek pocztowych atakujący tworzyli ukryte reguły przesyłania wiadomości. Reguły te automatycznie usuwały lub przenosiły do ukrytych folderów maile zawierające słowa kluczowe takie jak wypłaty, przelewy czy bonusy, co miało zapobiec wykryciu nieautoryzowanej aktywności, np. wysyłania fałszywych poleceń przelewu do księgowych.
