Многофакторното удостоверяване (MFA) има за цел да спре атаките с откраднати пароли. Новодокументирана фишинг техника обаче убеждава потребителите да одобрят реално влизане в Microsoft, което позволява на атакуващите да превземат получената сесия в Microsoft 365, без директно да крадат идентификационни данни.
Кампанията злоупотребява с потока от устройства с OAuth код (device-code flow) – функция, предназначена за устройства като смарт телевизори и системи за конферентни зали, които не могат лесно да покажат нормална страница за вход.
Атакуващите изпращат код чрез убедителна примамка за споделяне на документи или проверка на акаунт, след което изчакват жертвата да го въведе на истинската страница за вход на Microsoft.
В доклад, споделен с Cyber Security News (CSN), Trend Micro посочва, че техниката превръща легитимна функция за удобство в заобикаляне на MFA.
Изследователите установиха, че жертвите могат да завършат правилно своите проверки за парола и MFA, но одобрените токени за сесия се доставят на системата на киберпрестъпника вместо на доверено устройство.
Въздействието може да надхвърли еднократното влизане. След получаване на достъп, злонамерените субекти могат да регистрират неразрешени устройства, да създават правила за входящата поща, които скриват съобщенията, и да използват компрометираната пощенска кутия, за да достигнат до стотици допълнителни получатели, което прави инцидента труден за откриване само с инструменти, фокусирани върху крайните устройства.
В нормалния процес за влизане с код от устройство, дадено устройство изисква кратък код и потребителят го въвежда на друг екран, за да одобри достъпа. След това Microsoft дава токените за сесия на същото устройство, което е инициирало заявката, запазвайки връзката между потребителя и устройството в един легитимен процес.
Атакуващите прекъсват тази връзка, като действат като устройството. Техният сървър изисква валиден, краткотраен код, докато фишинг съобщение инструктира жертвата да го използва, за да отвори споделен документ или да потвърди акаунт. Жертвата посещава Microsoft, въвежда кода, влиза и завършва MFA, без да вижда фалшива страница за парола. След като одобрението е завършено, Microsoft издава токени за достъп и опресняване на чакащата заявка на киберпрестъпника.
Тези токени могат да отворят Outlook и други ресурси на Microsoft 365, докато токенът за опресняване с по-дълъг живот може да запази достъпа и след като жертвата е затворила браузъра. Това се различава от злоупотребата с OAuth кодове на устройства, насочена единствено към кражба на пароли, тъй като тук атакуващият краде удостоверена сесия.
Наблюдаваната операция започва с изграждане на доверие, а не с еднократно нежелано съобщение. Атакуващият, представящ се за партньор в адвокатска кантора, обменя приятелски съобщения, преди да изпрати линк, правейки искането да изглежда като част от съществуващ бизнес разговор. Видимият текст на връзката изглеждал познат, но пътят преминавал през страница в Google Sites, компрометирани отворени пренасочвания и фалшива подкана за проверка на потребителя, предназначена да забави автоматизирания анализ. Последната страница наподобявала портал за документи и инструктирала целта да въведе показания код за потвърждение на истинската страница за вход на Microsoft.
Разследващите споделят, че в един от случаите киберпрестъпникът е влязъл от чужбина в рамките на часове след като жертвата е одобрила заявката. Той е регистрирал няколко устройства, създал е скрито правило за пощенската кутия, за да скрие отговорите и върнатите съобщения, и след това е използвал кутията за изпращане на допълнителни фишинг имейли до външни контакти.
Администраторите трябва да разглеждат влизанията с кодове от устройства като събития, изискващи обяснение, особено когато този работен процес не е необходим. Дейности от типа „Authentication Broker“ от непозната държава или неуправлявано устройство, бърза регистрация на устройства, неочаквани промени в правилата за пощенски кутии и предупреждения за невъзможно пътуване могат заедно да разкрият протичащо компрометиране.
Най-ефективната стъпка за превенция е да се деактивира потокът от OAuth кодове за устройства навсякъде, където организацията реално не се нуждае от него, като се допускат тесни, документирани изключения при необходимост. Организациите трябва също така да ограничат регистрацията на устройства, да изискват управлявани устройства за достъп до чувствителни данни, да прилагат контроли, съобразени с местоположението, и да анулират сесиите, когато рискът при влизане се увеличи.
Информираността на потребителите остава от съществено значение, тъй като жертвата взаимодейства с истинска страница на Microsoft. Служителите трябва да считат всяко неочаквано искане за въвеждане или диктуване на код за подозрително и да го докладват незабавно, докато организациите преминават към устойчиви на фишинг методи за MFA, където е възможно.