Knight Office osoittaa, miksi varastettu Microsoft 365 -istunto on identiteetti­häiriö

Monivaiheinen tunnistautuminen (MFA) varmistaa kirjautumisen, mutta se ei yksin suojaa jokaista kirjautumisen jälkeen syntyvää istuntoa. Huntressin dokumentoimassa Knight Office -tapauksessa hyökkääjä käytti välimiehenä toimivaa AiTM-kalastelua (adversary-in-the-middle) Microsoft 365 -istuntomateriaalin kaappaamiseen. Tämän jälkeen ympäristöön rekisteröitiin luvaton Microsoft Entra ID -laite. Tilannetta pitää siis käsitellä identiteettikompromissina, ei pelkkänä vuotaneena salasanana. 640

Näin hyökkäysketju etenee

Havaittu ketju alkoi DocuSignia muistuttaneella kalasteluviestillä. Linkki kierrätettiin Monday.comin seurantapalvelun kautta murretulle Joomla-sivustolle, mikä auttoi peittämään varsinaisen kalastelukohteen mainepalveluilta ja viestilinkkejä tarkastavilta analyytikoilta. 6

Lopussa käyttäjälle voidaan näyttää uskottava Microsoftin yhteistyö- tai kirjautumisnäkymä, joka ohjaa jatkamaan tunnistautumista, mahdollisesti laitekoodia muistuttavalla toiminnolla. Tavoitteena on saada käyttäjä hyväksymään tapahtuma, jonka hän uskoo olevan aito.

AiTM-palvelin toimii käyttäjän ja aidon Microsoftin kirjautumispalvelun välissä:

1. Käyttäjä syöttää tunnuksensa ja suorittaa normaalin MFA-haasteen.
2. Välityspalvelin välittää tapahtumat Microsoftille reaaliajassa.
3. Kun tunnistautuminen onnistuu, hyökkääjä kaappaa selaimelle palautuvan istuntoevästeen tai muun token-materiaalin.
4. Hyökkääjä toistaa varmennetun istuntotilan omasta infrastruktuuristaan ja pääsee tilille.

Kyse ei ole MFA:n kryptografian murtamisesta. Hyökkääjä varastaa valtuutustilan, jonka onnistunut MFA tuotti. Microsoft määrittelee token-varkauden käyttäjälle myönnettyjen tokenien kaappaamiseksi ja uudelleenkäytöksi, vaikka käyttäjä olisi jo suorittanut monivaiheisen tunnistautumisen. 40

Miksi salasanan vaihto ei välttämättä katkaise pääsyä

Varastettu selainistunto tai päivitystokeniin perustuva pääsy voi mahdollistaa toiminnan ilman uutta salasana- tai MFA-kyselyä, kunnes asiaankuuluvat tokenit mitätöidään. Microsoftin ohjeistus kehottaa estämään vaikutuksen alaiset käyttäjät tai laitteet ja perumaan voimassa olevat tokenit. 40

Knight Office tekee tilanteesta vakavamman, koska hyökkäyksen jälkeiseen toimintaan kuului luvattoman laitteen liittäminen Entra ID:hen sekä hyökkääjän hallitsemien Windows Hello for Business -tunnistetietojen käyttöönotto. 6 Tämä voi muodostaa erillisen tunnistautumisreitin. Siksi pelkkä selainistunnon peruminen tai salasanan vaihto ei riitä: myös luvattomat laitteet ja uudet tunnistautumismenetelmät on etsittävä ja poistettava.

Sama pysyvyysperiaate tunnetaan laitekoodikalastelusta. Microsoftin mukaan väärinkäytetyn laitekoodivirran kautta saatu päivitystoken voidaan käyttää laiterekisteröintipalvelun tokenin pyytämiseen ja hyökkääjän hallitseman laitteen rekisteröintiin Entra ID:ssä. 28

Laitekoodikalastelu liittyy AiTM:ään, mutta ei ole sama asia

AiTM-kalastelu välittää käynnissä olevan kirjautumisen ja varastaa siitä syntyvän istunnon. Laitekoodikalastelu taas väärinkäyttää OAuthin laitevaltuutusvirtaa: hyökkääjä käynnistää laitekoodipyynnön, saa uhrin syöttämään koodin ja kirjautumaan, ja voi saada tokenit omalle asiakkaalleen, jos uhri hyväksyy pyynnön. 22

Molemmissa tekniikoissa hyökkääjän kohde ei ole ensisijaisesti salasana, vaan käyttökelpoinen valtuutusartefakti. Siksi valvonnan on katettava molemmat polut. Elasticin tunnistussääntö nostaa esiin onnistuneet, interaktiiviset Entra-kirjautumiset, joissa käytetään laitekoodiprotokollaa ja Microsoft Authentication Broker -asiakasta sekä pyydetään esimerkiksi Exchange Onlinen, Microsoft Graphin tai SharePointin resursseja. 17

Havaittu toiminta ja PhaaS-markkina

Huntress vahvisti Knight Office -tapauksessa hyökkäysketjun, johon kuuluivat asiakirja-aiheinen houkutin, monivaiheiset uudelleenohjaukset, istuntotokenien kaappaus ja luvaton Entra-laiterekisteröinti. Huntress yhdisti telemetriassaan toistuvaa tokenien uudelleenkäyttöä myös yhteen IP-osoitteeseen, mutta havaintoa ei pidä tulkita maailmanlaajuiseksi uhrimääräksi. 6

Knight Office sopii laajempaan kalastelu palveluna -tarjontaan (phishing-as-a-service, PhaaS), jossa tavoitellaan Microsoft 365:n identiteetti-istuntoja:

• Mirage2FA hyödyntää AiTM-infrastruktuuria tunnusten ja varmennettujen istuntojen kaappaamiseen. ANY.RUN raportoi 9 332 mahdollista kompromissitapahtumaa vuosilta 2024–2026, joista 4 561 liittyi evästevarkauteen. Luvut ovat telemetriaan perustuvia mahdollisia tapahtumia, eivät vahvistettujen uhrien määrä. 4
• Kali365 havaittiin ensimmäisen kerran huhtikuussa 2026, ja sitä on jaettu pääasiassa Telegramissa. FBI varoitti sen kyvystä hankkia Microsoft 365:n OAuth-käyttö- ja päivitystokenit. 1

Yhteinen puolustuksellinen opetus on selvä: istunto- ja token-varkauksiin on suhtauduttava yhtä vakavasti kuin salasanakompromisseihin.

Mitä Entra ID:stä ja Microsoft 365:stä kannattaa etsiä

Yksittäisen hälytyksen sijasta olennaista on tapahtumien korrelaatio.

1. Epäilyttävä istunnon uudelleenkäyttö

Tutki kirjautumiset, joissa sama tili tai istunto ilmestyy lyhyessä ajassa selvästi eri IP-osoitteista, verkoista, maantieteellisistä sijainneista, selaimista tai laiteominaisuuksista – erityisesti onnistuneen MFA-tapahtuman jälkeen. Microsoftilla on tokenien poikkeavaan käyttöön ja istuntoevästeiden tuntemattomiin kirjautumisominaisuuksiin liittyviä havaintoja. 38

2. Epäilyttävä laitekooditoiminta

Käy läpi onnistuneet laitekooditunnistautumiset ja arvioi, ovatko asiakas, lähde-IP, pyydetty resurssi ja käyttäjän toiminta odotuksenmukaisia. Entra-kirjautumislokeissa laitekooditoimintaa voi tunnistaa muun muassa kentistä authenticationProtocol: deviceCode ja originalTransferMethod: deviceCodeFlow. 26

3. Pysyvyysmuutokset

Priorisoi Entra-auditointitapahtumat, jotka koskevat:

• uusia laitteiden rekisteröintejä, liitoksia, omistajuuden muutoksia tai epätavallisia laitetunnisteita;
• uusia Windows Hello for Business-, FIDO2-/passkey-, MFA- tai palautustunnistautumismenetelmiä;
• sovellussuostumuksia, yrityssovellusmuutoksia, palveluprinsipaaleja tai etuoikeutettuja roolimäärityksiä;
• Conditional Access -käytäntöjen, nimettyjen sijaintien, federaation, postin edelleenlähetysten tai postilaatikkosääntöjen muutoksia.

Luvaton laiterekisteröinti pian epäilyttävän tunnistautumisen jälkeen on korkean prioriteetin identiteettipysyvyyssignaali. 2628

4. Yhdistä sähköposti- ja identiteettihavainnot

DocuSign-aiheinen viesti voi olla pelkkää roskapostia, ja uusi Entra-laite voi olla täysin normaali. Epäilyttävän viestin, uudelleenohjausketjun, onnistuneen MFA-tapahtuman, poikkeavan istunnon uudelleenkäytön sekä laite- tai tunnistautumismenetelmämuutoksen yhdistelmä on jo paljon käyttökelpoisempi hälytyssignaali.

Incident response: eristä identiteetti, älä vain vaihda salasanaa

Kun epäillään AiTM- tai laitekoodipohjaista token-varkautta, käytä identiteetin eristämiseen keskittyvää toimintamallia.

1. Estä tai poista vaikutuksen alainen identiteetti käytöstä tarpeen mukaan. Poista asianomaiset käyttäjä- ja laitetilit käytöstä, kunnes tapahtuman laajuus on selvitetty. 40
2. Peruuta istunnot ja päivitystokenit. Käytä Entran kirjautumisistuntojen perumista ja pakota uusi tunnistautuminen. Microsoft suosittelee laitekoodikalastelun vastatoimena päivitystokenien perumista revokeSignInSessions-toiminnolla. 27
3. Vaihda salasana, mutta älä lopeta siihen. Salasanan vaihto on täydentävä torjuntatoimi, ei osoitus siitä, että hyökkääjän pääsy on poistunut. 4042
4. Poista pysyvyys. Etsi ja poista luvattomat Entra-laitteet, tarkista laitteiden omistajuus, poista hiljattain lisätyt Windows Hello for Business-, FIDO2-, MFA-, palautus- ja sovellustunnistetiedot sekä tarkista suostumusmyönnöt. 628
5. Tee metsästys koko tenantissa. Etsi kaikilta käyttäjiltä vastaavia houkutin-URL-osoitteita, uudelleenohjausinfrastruktuuria, epäilyttäviä lähde-IP-osoitteita, laitekooditapahtumia, MFA:n jälkeisiä poikkeamia ja uusia laiterekisteröintejä.
6. Arvioi liiketoimintavaikutus. Tarkista Exchange-, SharePoint-, OneDrive-, Teams-, Microsoft Graph-, OAuth- ja hallintalokit tietojen käytön, postilaatikkosääntöjen, edelleenlähetysten, ulkoisen jakamisen, suostumusten väärinkäytön, oikeuksien muutosten ja SSO:lla liitettyjen sovellusten pääsyn varalta.
7. Säilytä todisteet ennen siivousta. Ota talteen kalasteluviestit otsaketietoineen, sähköpostijäljitykset, uudelleenohjausketjut, Entra-kirjautumis- ja auditointilokit, laitetiedot, OAuth-suostumustiedot sekä selain- ja päätelaite-telemetria.

Pienennä altistusta ennen seuraavaa houkutinta

Tietojenkalastelunkestävä tunnistautuminen on tärkeä suojaus etenkin korkean riskin käyttäjille, mutta se kuuluu kerrokselliseen kokonaisuuteen. Microsoft suosittelee esimerkiksi FIDO2-suojausavaimia, Windows Hello for Businessia ja varmennetunnistautumista sekä hallitsemattomien laitteiden istuntojen käyttöajan rajoittamista. 39

Organisaation kannattaa myös arvioida, tarvitaanko laitekoodivirtaa omassa ympäristössä, rajoittaa luvatonta laiterekisteröintiä, soveltaa Conditional Access -käytäntöjä vaatimustenmukaisiin laitteisiin ja riskiin sekä varmistaa, että tietoturvatiimi pystyy nopeasti peruuttamaan istuntoja ja tutkimaan identiteettiobjektien muutoksia.

Knight Officen keskeinen opetus ei ole, että MFA olisi epäonnistunut. Onnistunut MFA-tapahtuma voi olla kompromissin alku, jos hyökkääjä varastaa sen jälkeen syntyvän istunnon. Torjunta on valmis vasta, kun tenantin istunnot, laitteet, tunnistautumismenetelmät ja delegoidut käyttöoikeudet on tarkistettu ja hallittu.