Хакери превземат акаунти в Microsoft 365 в 79 организации чрез откраднати токени за вход

Киберпрестъпници са компрометирали акаунти в Microsoft 365 в 79 организации чрез повторно използване на откраднати токени за вход, като са реализирали поне 497 успешни влизания между 14 юли и 22 септември 2026 г.

Десетседмичната кампания е генерирала и над 200 000 неуспешни опита за вход в наблюдаваните среди на клиенти. Атакуващите са се насочили към вече удостоверени сесии, вместо да налучкват пароли.

Подобно на докладвани преди това атаки с кражба на сесии в Microsoft 365, този подход позволява на престъпниците да използват повторно доказателството, че потребителят вече е преминал многофакторно удостоверяване (MFA), и така да получат достъп, без да преминават отново през тази проверка.

Изследователи от Huntress са идентифицирали кампанията и са описали находките си в доклад от 22 октомври. Разследването им описва кражба на токени и злоупотреба с акаунти, а не конкретно семейство зловреден софтуер. Атакуващите са регистрирали поне 48 неоторизирани устройства в Microsoft Entra и са заменили методите за удостоверяване на жертвите, за да запазят достъпа си.

Хакери превземат акаунти в Microsoft 365 в 79 организации

Операцията съчетава фишинг от тип „противник по средата“ (adversary-in-the-middle), фишинг с код за устройство (device-code) и социално инженерство. При атаките с препредаване фалшива страница за вход е пренасочвала данните за вход и MFA заявката на жертвата към Microsoft, след което е прихващала получената удостоверена сесия.

Атакуващите са възпроизвеждали тази сесия от наета инфраструктура, управлявана чрез германския хостинг доставчик 1337 Services GmbH. Фишингът с код за устройство е бил друг път за достъп.

Както обяснява по-ранно отразяване на злоупотребата с OAuth device authorization, жертвите могат да одобрят контролирана от атакуващия сесия, докато влизат в легитимния уебсайт на Microsoft. Huntress наблюдава тази техника по време на августовската вълна на кампанията.

Изследователите разделят активността по препредаване на два набора от инструменти. Build A използва скриптови обмени на токени чрез клиентите Microsoft Office и Authentication Broker, насочени към услуги като Microsoft Graph, Exchange Online и SharePoint. Build B е препредавал браузърни сесии през OfficeHome.

Интервалът между удостоверяването и превземането на акаунта понякога е бил само минути: 12 минути при един инцидент през юли и четири минути при последното превземане през септември. Релетата за прихващане и хостовете за препредаване са използвали отделна инфраструктура, което означава, че блокирането на едната страна не спира автоматично другата.

Устойчив достъп и скрита активност в пощенските кутии

В 19 организации атакуващите са изтрили съществуващите MFA методи и са регистрирали нови в рамките на три часа след първото свързано с кампанията влизане. Неоторизираните устройства са осигурявали допълнителна опора.

Отделно документираната активност на фишинг комплекта GhostCode показва защо регистрацията на устройства заслужава внимание при разследвания на кражба на токени, въпреки че Huntress не приписва тази кампания на GhostCode.

Атакуващите са създавали и правила за входящата поща, които скриват пристигащи съобщения. Един компрометиран акаунт е изпратил имейл, свързан със заплати, до външен счетоводител, докато правила са скривали банкови съобщения и отговори. Друга активност включва изпращане на спам до стотици получатели.

Huntress препоръчва прекратяване на сесиите, нулиране на паролите, премахване на неоторизираните устройства и MFA методи и преглед на правилата за входящата поща.

Организациите трябва да ограничат ненужното удостоверяване с код за устройство и да проверяват новите разрешения на приложенията. Conditional Access е блокирал 1052 опита в четири организации по време на една от вълните на кампанията, което показва стойността на прилагането на политики отвъд самото MFA.

Индикатори за компрометиране (IoC):-

Забележка: IP адресите и домейните са умишлено дефангнати (напр. [.]), за да се предотврати случайно разрешаване или превръщане в хипервръзки. Възстановявайте оригиналния вид само в контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или вашия SIEM.