MFA-Bypass Phishing किट्स का नया दौर: Forg365, Jalisco, OmegaLord और Device-Code अटैक की पूरी कहानी

• AI-असिस्टेड लूर जनरेशन: डैशबोर्ड जनरेटिव AI का उपयोग करके अपने आप फ़िशिंग ईमेल तैयार, रिफ़ाइंड और लोकलाइज़ करता है, जो ख़ास इंडस्ट्री और बिज़नेस सीनारियो को टार्गेट करते हैं। इससे स्किल बैरियर काफी कम हो गया है ^TR.
• डुअल-पाथ MFA बाईपास: Forg365 दो तकनीकों का इस्तेमाल करता है — एडवर्सरी-इन-द-मिडल (AiTM) प्रॉक्सीिंग (रियल लॉगिन सेशन को अटैकर के इंफ्रास्ट्रक्चर से रिले करना) और OAuth डिवाइस-कोड फ़िशिंग (पीड़ित को microsoft.com/devicelogin पर अटैकर द्वारा सप्लाई किया गया कोड डालने के लिए धोखा देना, जो अटैकर के क्लाइंट को अधिकृत करता है) ^SC.
• एंटीबॉट एवेज़न और पोस्ट-कॉम्प्रोमाइज़ ऑपरेशन्स: प्लेटफ़ॉर्म में अकाउंट टेकओवर के बाद ऑटोमेटेड मेलबॉक्स ऑपरेशन के टूल्स भी हैं ^C.

2. ForgCookie ब्राउज़र एक्सटेंशन — लगातार एक्सेस

ForgCookie नाम का एक साथी ब्राउज़र एक्सटेंशन Chrome, Edge और Brave के साथ कम्पैटिबल है ^C. जब पीड़ित के सेशन टोकन या कुकीज़ चुरा लिए जाते हैं, तो ForgCookie अपने आप चुराई गई सेशन कुकीज़ को रिफ़्रेश करता है, जिससे अटैकर को Microsoft 365 सर्विसेज़ (Outlook, Teams, OneDrive, SharePoint) तक बिना दोबारा ऑथेंटिकेशन के एक्सेस मिलता रहता है — भले ही पीड़ित अपना पासवर्ड बदल दे ^IC. यह एक बार के टोकन ग्रैब को लंबे समय तक चलने वाले कॉम्प्रोमाइज़ में बदल देता है.

3. Jalisco — डिवाइस-कोड फ़िशिंग टूलकिट

14 जुलाई 2026 को ReliaQuest और BleepingComputer द्वारा खुलासा किया गया Jalisco एक डिवाइस-कोड फ़िशिंग किट है जो Microsoft 365 अकाउंट्स के ख़िलाफ़ सक्रिय रूप से इस्तेमाल हो रहा है ^RS. यह इस तरीके से काम करता है:

• ईमेल भेजकर पीड़ित को Microsoft के लीगल लॉगिन पेज पर एक डिवाइस कोड डालने का निर्देश दिया जाता है.
• यह कोड अटैकर के कंट्रोल वाले OAuth एप्लिकेशन का होता है.
• पीड़ित Microsoft के अपने सर्वर पर रियल MFA पूरा करता है — लेकिन परिणामी OAuth टोकन अटैकर के पोलिंग क्लाइंट को जारी होते हैं, न कि पीड़ित को ^RS.

इसका मतलब है कि MFA "टूटा" नहीं है — इसे ख़ुद अटैकर के ख़िलाफ़ हथियार बना दिया गया है.

4. OmegaLord — नकली PDF रीडर से क्रेडेंशियल चोरी

14 जुलाई 2026 को ही रिपोर्ट किया गया OmegaLord एक अलग तरीका अपनाता है: यह एक नकली PDF रीडर ब्राउज़र पेज के रूप में सामने आता है ^RS. जब पीड़ित उस पेज पर पहुंचता है:

• उसे "इस सुरक्षित दस्तावेज़ को देखने के लिए लॉग इन करें" का प्रॉम्प्ट मिलता है।
• लॉगिन फ़ॉर्म रियल टाइम में क्रेडेंशियल और संबंधित वन-टाइम पासवर्ड (OTP) कोड दोनों कैप्चर कर लेता है।
• अटैकर OTP के एक्सपायर होने से पहले, चुराए गए क्रेडेंशियल + OTP का उपयोग करके तुरंत ऑथेंटिकेट कर लेते हैं ^RS.

5. OAuth स्पूफ़िंग और डिवाइस-कोड का बढ़ता खतरा

एक बड़ा इंडस्ट्री ट्रेंड सामने आया है:

• माइक्रोसॉफ्ट ने मार्च 2026 में सरकारी और पब्लिक-सेक्टर संगठनों को निशाना बनाते हुए OAuth रीडायरेक्शन एब्यूज़ का दस्तावेज़ीकरण किया, जिसमें साइलेंट OAuth फ़्लो और इनवैलिड स्कोप्स का इस्तेमाल हुआ ^M.
• 2026 में डिवाइस-कोड फ़िशिंग किट्स जैसे Kali365, EvilTokens, Ghost Hub, Cyb3r और Tycoon2FA सभी Microsoft 365 को टार्गेट करते हुए सक्रिय रूप से देखे गए, मई 2026 सबसे पीक महीना रहा ^SB.
• FBI ने मई 2026 में एक पब्लिक सर्विस एनाउंसमेंट (PSA I-052126) जारी किया, जिसमें ख़ास तौर पर Kali365 के बारे में चेतावनी दी गई — यह एक PhaaS प्लेटफ़ॉर्म है जो OAuth डिवाइस ऑथराइज़ेशन ग्रांट फ़्लो का दुरुपयोग करके बिना पासवर्ड के M365 अकाउंट्स को हाईजैक कर लेता है ^I.

MFA बाईपास असल में कैसे काम करता है

इन सभी खतरों के पीछे की मुख्य बात यह है कि MFA तकनीकी रूप से पराजित नहीं होता — इसे अपने पक्ष में कर लिया जाता है:

यही कारण है कि पारंपरिक MFA अब पर्याप्त सुरक्षा नहीं है ^TWS.

रिसर्चर्स की सुरक्षा सिफ़ारिशें

कई एडवाइज़रीज़ के आधार पर, निम्नलिखित उपाय ज़ोरदार तरीके से सुझाए गए हैं:

• अपने टेनेंट में OAuth डिवाइस-कोड फ़्लो बंद करें यदि आपका संगठन इसका उपयोग नहीं करता है (उदाहरण के लिए, कंडीशनल एक्सेस पॉलिसी के ज़रिए devicecode ऑथेंटिकेशन को ब्लॉक करें)।
• कंडीशनल एक्सेस पॉलिसी लागू करें जो सिर्फ़ MFA नहीं, बल्कि कम्प्लाइंट डिवाइस, भरोसेमंद लोकेशन और सेशन रिस्क चेक की मांग करें।
• असामान्य OAuth एप्लिकेशन ग्रांट की निगरानी करें — ख़ास तौर पर उन ऐप्स पर जो offline_access, Mail.Read, या Files.ReadWrite.All परमिशन मांगते हैं।
• लेगेसी ऑथेंटिकेशन को ब्लॉक करें और जहां संभव हो टोकन-बाइंडिंग के साथ मॉडर्न ऑथेंटिकेशन की आवश्यकता रखें।
• टोकन प्रोटेक्शन / टोकन बाइंडिंग का उपयोग करें (Microsoft की "टोकन थेफ्ट प्रोटेक्शन" सुविधा) ताकि टोकन ख़ास डिवाइसों से बंधे रहें।
• फ़िशिंग-रेज़िस्टेंट MFA (FIDO2 सिक्योरिटी की या Windows Hello for Business) तैनात करें, जिसे प्रॉक्सी नहीं किया जा सकता।
• यूज़र्स को प्रशिक्षित करें कि वे डिवाइस-कोड फ़िशिंग लूर को पहचानें, जो उन्हें लीगल Microsoft URL पर "अपना अकाउंट वेरिफाई करने के लिए यह कोड डालें" जैसा कहते हैं।
• साइन-इन लॉग्स का ऑडिट करें — अनपेक्षित IP, असामान्य यूज़र एजेंट और गैर-कॉरपोरेट डिवाइसों से डिवाइस-कोड लॉगिन देखें।

ये सिफ़ारिशें FBI PSA ^I, Microsoft Security Blog ^M, BleepingComputer ^RC और ReliaQuest थ्रेट एनालिसिस ^S से ली गई हैं।

निष्कर्ष

2026 में Microsoft 365 के ख़िलाफ़ फ़िशिंग की जो लहर आई है — जिसकी अगुआई Forg365 (अपने ForgCookie परसिस्टेंस एक्सटेंशन के साथ), Jalisco, OmegaLord और डिवाइस-कोड व AiTM किट्स के पूरे इकोसिस्टम ने की है — वह एक पैराडाइम शिफ्ट है। अटैकर्स को अब पासवर्ड चुराने या MFA तोड़ने की ज़रूरत नहीं है। इसके बजाय, वे OAuth ट्रस्ट मॉडल का दुरुपयोग करके पीड़ित की अपनी ऑथेंटिकेशन को ही अटैकर-कंट्रोल्ड सेशन को अधिकृत करने के लिए इस्तेमाल करते हैं। सिक्योरिटी कम्युनिटी का सर्वसम्मत सुझाव है कि ज़ीरो-ट्रस्ट पॉश्चर अपनाया जाए: अनुपयोगी ऑथ फ़्लो को बंद करें, कंडीशनल एक्सेस लागू करें, टोकन ग्रांट की निगरानी करें और फ़िशिंग-रेज़िस्टेंट MFA की ओर बढ़ें ^ICSC.