Knight Office stjæler Microsoft 365-sessioner efter MFA

Knight Office er en påmindelse om, at MFA bekræfter et login – men ikke automatisk beskytter den session, som oprettes bagefter. I hændelsen dokumenteret af Huntress opsnappede en adversary-in-the-middle-kampagne (AiTM) Microsoft 365-sessionmateriale, hvorefter der blev registreret en uautoriseret enhed i Microsoft Entra ID. Det bør derfor håndteres som et identitetskompromis og ikke blot som et stjålet kodeord. 640

Sådan forløber Knight Office-angrebet

Det observerede forløb begyndte med en phishingmail, der lignede en DocuSign-henvendelse. Linket gik via en sporingstjeneste fra Monday.com og derefter et kompromitteret Joomla-site. Kæden skjulte den endelige phishingdestination for omdømmebaserede kontroller og enkel inspektion af links i e-mails. 6

AiTM-delen fungerer som en reverse proxy mellem offeret og Microsofts rigtige loginservice:

1. Offeret indtaster sine legitimationsoplysninger og gennemfører den normale MFA-godkendelse.
2. Proxyen videresender handlingerne til Microsoft i realtid.
3. Når godkendelsen lykkes, opsnapper angriberen den autentificerede sessionscookie eller andet tokenmateriale, som returneres til browseren.
4. Angriberen genbruger derefter den autentificerede tilstand fra sin egen infrastruktur for at få adgang til kontoen.

Det betyder ikke, at MFA-kryptografien er brudt. Angriberen stjæler i stedet den autorisationstilstand, der er udstedt efter MFA. Microsoft beskriver token-tyveri som kompromittering og genafspilning af tokens udstedt til en bruger, der allerede kan have gennemført multifaktorgodkendelse. 40

Derfor er en nulstilling af adgangskoden ikke nok

En stjålet browsersession eller adgang, der stammer fra et refresh-token, kan gøre det muligt for en ubuden gæst at fortsætte uden et nyt kodeords- eller MFA-prompt, indtil de relevante tokens tilbagekaldes. Microsoft anbefaler ved token-tyveri at blokere berørte brugere eller enheder og tilbagekalde aktive tokens. 40

Knight Office gør situationen mere alvorlig, fordi den rapporterede aktivitet efter kompromitteringen omfattede registrering af en uautoriseret enhed i Microsoft Entra ID og opsætning af angriberstyrede Windows Hello for Business-legitimationsoplysninger. 6 Det kan skabe en særskilt loginvej. Selv efter tilbagekaldelse af den oprindelige websession eller nulstilling af adgangskoden skal organisationen derfor kontrollere, at der ikke findes en uautoriseret enhed eller en ny godkendelsesmetode.

Samme type vedvarende adgang er beskrevet i forskning om device-code-phishing. Microsoft har eksempelvis rapporteret, at et refresh-token fra et misbrugt device-code-forløb kan bruges til at hente adgang til enhedsregistrering og registrere en angriberstyret enhed i Entra ID. 28

Device-code-phishing er beslægtet med AiTM – men ikke det samme

AiTM-phishing proxier et aktivt login og stjæler den efterfølgende session. Device-code-phishing misbruger derimod en legitim OAuth-godkendelsesproces for enhedskoder: Angriberen starter forespørgslen, overtaler offeret til at indtaste en kode og godkende login, og kan modtage tokens til en angriberstyret klient. 22

Begge metoder flytter målet fra indsamling af adgangskoder til erhvervelse af brugbart autorisationsmateriale. Overvågningen bør derfor dække begge angrebsveje. Elactics detektionsvejledning fremhæver vellykkede, interaktive Entra-logins med device-code-protokollen, Microsoft Authentication Broker-klienten og anmodninger mod Microsofts egne ressourcer som Exchange Online, Microsoft Graph eller SharePoint. 17

Observeret aktivitet og markedet for phishingkits

Huntress fastslog en konkret Knight Office-angrebskæde: et dokumenttema som lokkemad, omdirigeringer i flere led, opsnapning af sessionstokens og uautoriseret registrering af en Entra-enhed. Huntress forbandt også gentagen token-genafspilning i sin telemetri med én IP-adresse, men det må ikke læses som et globalt antal ofre. 6

Knight Office passer ind i et bredere marked for phishing-as-a-service-kits (PhaaS), der går efter Microsoft 365-identitetssessioner:

• Mirage2FA bruger AiTM-infrastruktur til at opsnappe legitimationsoplysninger og autentificerede sessioner. ANY.RUN rapporterede 9.332 potentielle kompromitteringshændelser fra 2024 til 2026, heraf 4.561 hændelser med cookie-tyveri. Tallene bygger på telemetri og er ikke et antal bekræftede ofre. 4
• Kali365, som først blev set i april 2026 og primært distribueres via Telegram, var genstand for en FBI-advarsel om evnen til at hente Microsoft 365 OAuth-adgangs- og refresh-tokens. 1

Den fælles læring er enkel: Session- og tokenmisbrug skal beskyttes imod, opdages og håndteres lige så konsekvent som kompromitterede adgangskoder.

Detektionsprioriteter i Entra ID og Microsoft 365

Fokusér på sammenhænge mellem hændelser frem for én enkelt alarm.

1. Find mistænkelig genbrug af sessioner

Undersøg logins, hvor samme konto eller session optræder fra væsentligt forskellige IP-adresser, netværk, geografiske placeringer, browsere eller enhedsegenskaber inden for kort tid – især umiddelbart efter vellykket MFA. Microsoft peger på detektioner for unormal tokenanvendelse og ukendte loginegenskaber knyttet til sessionscookies. 38

2. Undersøg mistænkelig device-code-aktivitet

Gennemgå vellykkede device-code-godkendelser, og vurder om klient, kilde-IP, efterspurgt ressource og brugerens normale adfærd hænger sammen. I Entra-logfiler kan device-code-aktivitet identificeres via felter som authenticationProtocol: deviceCode og originalTransferMethod: deviceCodeFlow. 26

3. Hold øje med ændringer, der giver vedvarende adgang

Prioritér audit-hændelser i Entra ID, der vedrører:

• Nye enhedsregistreringer, joins, ændringer af ejerskab eller usædvanlige enhedsidentifikatorer.
• Nyligt tilføjede Windows Hello for Business-, FIDO2/passkey-, MFA- eller gendannelsesmetoder.
• Samtykke til applikationer, ændringer i enterprise applications, service principals eller tildeling af privilegerede roller.
• Ændringer i Conditional Access, navngivne placeringer, federation samt videresendelses- og indbakkeregler i postkasser.

En uautoriseret enhedsregistrering kort efter mistænkelig godkendelse bør behandles som et højprioriteret tegn på vedvarende identitetsadgang. 2628

4. Kobl e-mail- og identitetsdata sammen

En DocuSign-lignende e-mail kan være almindelig spam, og en ny Entra-enhed kan være legitim. Kombinationen af en mistænkelig mail, spor fra omdirigeringskæden, vellykket MFA, unormalt genbrug af session og ændring af enhed eller godkendelsesmetode er langt mere handlingsklar.

Hændelseshåndtering: Inddæm identiteten – ikke kun adgangskoden

Ved mistanke om AiTM- eller device-code-baseret token-tyveri bør organisationen følge en arbejdsgang for inddæmning af identiteter:

1. Blokér eller deaktivér den berørte identitet efter behov. Deaktivér berørte bruger- og enhedskonti, mens omfanget afklares. 40
2. Tilbagekald aktive sessioner og refresh-tokens. Brug Entra-processen til tilbagekaldelse af loginsessioner, og gennemtving derefter ny autentificering. Microsoft anbefaler specifikt revokeSignInSessions ved respons på device-code-phishing. 27
3. Nulstil adgangskoder, men stop ikke der. En nulstilling er supplerende inddæmning – ikke bevis for, at angriberens adgang er væk. 4042
4. Fjern vedvarende adgang. Find og fjern uautoriserede Entra-enheder, gennemgå enhedsejerskab, fjern nyligt tilføjede Windows Hello for Business-, FIDO2-, MFA-, gendannelses- og applikationslegitimationsoplysninger, og undersøg samtykker. 628
5. Jagt på tværs af hele tenantet. Søg efter samme lokke-URL'er, omdirigeringsinfrastruktur, mistænkelige kilde-IP'er, device-code-hændelser, loginanomalier efter MFA og nye enhedsregistreringer hos alle brugere.
6. Vurdér forretningspåvirkningen. Gennemgå auditaktivitet i Exchange, SharePoint, OneDrive, Teams, Microsoft Graph, OAuth og administration for dataadgang, postkasseregler, videresendelse, ekstern deling, samtykkemisbrug, privilegieændringer og adgang til SSO-forbundne applikationer.
7. Sikr beviser før oprydning. Gem phishingmails og headers, mailspor, omdirigeringskæder, Entra-login- og auditlogfiler, enhedsoplysninger, OAuth-samtykker samt browser- og endpointtelemetri.

Reducér eksponeringen før næste lokkemad

Phishing-resistent autentificering er en væsentlig kontrol for brugere med høj risiko, men bør indgå i et forsvar i flere lag. Microsoft anbefaler phishing-resistente metoder som FIDO2-sikkerhedsnøgler, Windows Hello for Business og certifikatbaseret autentificering, kombineret med kontroller, der begrænser levetiden for sessioner på ikke-administrerede enheder. 39

Organisationer bør også vurdere, om device-code-flow er nødvendigt, begrænse uautoriseret enhedsregistrering, anvende Conditional Access baseret på kompatible enheder og risiko samt sikre, at driftsteamet hurtigt kan tilbagekalde sessioner og undersøge ændringer i identitetsobjekter.

Den centrale læring fra Knight Office er ikke, at MFA har fejlet. Det er, at et vellykket MFA-login kan blive begyndelsen på kompromitteringen, når angriberen stjæler sessionen bagefter. En hændelse er først håndteret, når tenantets sessioner, enheder, godkendelsesmetoder og delegerede adgange alle er kontrolleret og inddæmmet.