Hankinta-ansassa: Näin Microsoft 365 -istunnonkaappauskampanja kiertää monivaiheisen tunnistautumisen

Miten hyökkäys toimii (tekninen mekanismi)

Hyökkääjä perustaa välityspalvelimen, joka toimii elävänä käänteisvälityspalvelimena uhrin ja aidon Microsoft 365 -tunnistautumispalvelun välillä . Kun uhri syöttää tunnuksensa ja suorittaa MFA:n, välityspalvelin kaappaa syntyvän istuntoevästeen ennen kuin se ehtii uhrin selaimeen. Hyökkääjä tuo tämän evästeen omaan selaimeensa ja saa täyden pääsyn uhrin Exchange Onlineen, SharePointiin, OneDriveen ja kaikkiin federoidut sovelluksiin .

Useat lähteet kuvaavat samaa ydinkoneistoa: välityspalvelin luo reaaliaikaisen kaksisuuntaisen viestinnän, kun taas perinteinen tykitys vain kloonaa kirjautumissivut ja kerää tunnukset . Koska istuntotodiste todistaa käyttäjän jo läpäisseen MFA:n, hyökkääjän ei koskaan tarvitse murtaa MFA:ta itse .

Miksi tavallinen MFA ei riitä

Microsoftin oma dokumentaatio varoittaa, että AiTM-tykitys päihittää yleiset MFA-menetelmät, kuten SMS-koodit, tunnistautumissovellusten push-ilmoitukset ja TOTP-tokenit . MFA:n jälkeen myönnetty istuntoeväste on palkinto: jos se varastetaan, sitä voidaan toistaa miltä tahansa laitteelta, mistä tahansa, kunnes tunnus vanhenee tai se perutaan hallinnollisesti.

Infobloxin raportti korostaa, että perinteinen MFA ei riitä, koska AiTM-välityspalvelimet varastavat MFA:n jälkeen annetun istuntotodisteen . Perimmäinen ongelma on arkkitehtoninen: välityspalvelin asettuu käyttäjän ja todellisen tunnistautumispäätepisteen väliin tavalla, jota klassinen MFA ei pysty havaitsemaan.

Infobloxin suosittelemat suojakeinot MFA:n lisäksi

Infoblox suosittelee kerroksellista puolustusstrategiaa, joka ei luota MFA:han ainoana suojana. Tärkeimmät suositukset:

1. DNS-tason suojaus – Estä tunnetut haitalliset verkkotunnukset ja äskettäin rekisteröidyt algoritmiset verkkotunnukset (RDGAt) DNS-tasolla, jotta tykitysinfrastruktuuriin ei päästä ennen kuin käyttäjät ehtivät sinne .
2. Tykityksenkestävät tunnistautumistavat – Ota käyttöön FIDO2/WebAuthn-laitteistoturva-avaimet tai Windows Hello for Business. Nämä käyttävät julkisen avaimen salausta, joka on sidottu tiettyyn alkuperään. AiTM-välityspalvelin ei pysty välittämään FIDO2-haasteita, koska kryptografinen varmenne on sidottu laillisen sivuston verkkotunnukseen, ei välityspalvelimeen.
3. Ehdolliset käyttöoikeuskäytännöt – Ota käyttöön tiukat kirjautumisriskikäytännöt Microsoft Entra ID:ssä, kuten vaadi tunnuksen sidontaa, estä kirjautuminen epätavallisista sijainneista tai laitteista ja lyhennä istuntojen elinaikaa vähentääksesi evästeen toistamisen ikkunaa.
4. Altistumisen hallinta ja brändivalvonta – Tunnista ennalta organisaatiota matkivat tykitysverkkotunnukset ja poista niiden infrastruktuuria ennen kuin käyttäjät kohtaavat houkutuksia .
5. Tietoturvatietoisuus ja raportointi – Kouluta käyttäjiä tunnistamaan hankinta-aiheiset tykitysviestit ja raportoimaan epäilyttävistä sähköposteista, mikä nopeuttaa SOC-reagointia.

FBI on myös varoittanut erityisesti Kali365:stä ja kehottaa organisaatioita auditoimaan MFA-menetelmänsä, tarkistamaan kirjautumislokeja poikkeavien laitekoodivirtausten varalta ja harkitsemaan laitekooditunnistautumisen estämistä kaikilta käyttäjiltä paitsi luotettuja sovelluksia .

Todisteiden rajoitukset ja laajuus

Infobloxin raportti on ensisijainen lähde kampanjan nimelle, EU:n/YK:n instituutioiden kohdistamiselle sekä vaarannettujen Outlook-postilaatikoiden ja pienten yritysten sivustojen käytölle. Toissijaiset raportit vahvistavat itsenäisesti kohteet ja työkalupakkien vaihtelun.

Kali365-komponentin vahvistavat itsenäisesti FBI:n PSA ja tietoturvatoimittajat Huntress ja Paubox , mutta Infobloxin raportti ryhmittelee sen saman hankinta-aiheisen infrastruktuurin alle EvilProxyn ja FlowerStormin kanssa.

Puolustussuositukset yhdistävät suoria lainauksia Infobloxin raportista ja vakiintuneita alan parhaita käytäntöjä, jotka on dokumentoitu useissa lähteissä . Yksikään lähde ei luettele jokaista puolustuskohtaa luettelomuodossa; yllä oleva luettelo on synteesi lähteissä esitetystä ohjeistuksesta.

Yhteenveto

"The Procurement Trap" havainnollistaa kasvavaa trendiä: hyökkääjät eivät yritä murtaa MFA:ta – he kiertävät sen kokonaan varastamalla onnistuneen tunnistautumisen jälkeen myönnetyt istuntoevästeet. Tekniset vastatoimet, kuten FIDO2-laitteistoavaimet ja DNS-tason verkkotunnusten esto, voivat vähentää altistumista merkittävästi, mutta ensimmäinen puolustuslinja on edelleen käyttäjien valppaus. Microsoft 365:tä käyttävien organisaatioiden tulisi tarkistaa tunnistautumislokinsa odottamattomien laitekoodi- tai AiTM-kuvioiden varalta ja ottaa tykityksenkestävät tunnistautumistavat käyttöön prioriteettina.