Knight Office Tunjukkan Pencurian Sesi Microsoft 365 Harus Ditangani sebagai Insiden Identitas

Knight Office menjadi pengingat penting bahwa MFA memverifikasi proses masuk, tetapi tidak otomatis melindungi setiap sesi yang terbentuk sesudahnya. Dalam insiden yang didokumentasikan Huntress, rantai phishing adversary-in-the-middle (AiTM) menangkap materi sesi Microsoft 365 dan diikuti pendaftaran perangkat Microsoft Entra ID tanpa izin. Karena itu, kejadian ini perlu diperlakukan sebagai kompromi identitas, bukan sekadar pencurian kata sandi. 640

Cara kerja rantai serangan Knight Office

Rantai serangan yang diamati berawal dari email phishing bergaya DocuSign. Tautannya melewati layanan pelacakan Monday.com, lalu situs Joomla yang telah dikompromikan. Jalur berlapis ini menyembunyikan tujuan phishing akhir dari pemeriksaan reputasi dan inspeksi tautan email dasar. 6

Pada serangan AiTM, pelaku bertindak sebagai reverse proxy di antara korban dan layanan masuk Microsoft yang asli:

1. Korban memasukkan kredensial lalu menyelesaikan tantangan MFA normal.
2. Proxy meneruskan interaksi itu ke Microsoft secara langsung.
3. Setelah autentikasi berhasil, pelaku menangkap cookie sesi terautentikasi atau materi token lain yang dikirimkan ke peramban.
4. Pelaku memutar ulang (replay) status autentikasi tersebut dari infrastruktur mereka sendiri untuk mengakses akun.

Ini bukan berarti pelaku memecahkan kriptografi MFA. Yang dicuri adalah status otorisasi yang diterbitkan setelah MFA berhasil. Microsoft mendefinisikan pencurian token sebagai kompromi dan pemutaran ulang token yang diterbitkan untuk pengguna, termasuk ketika pengguna tersebut telah memenuhi autentikasi multifaktor. 40

Mengapa reset kata sandi saja belum cukup

Sesi peramban yang dicuri, atau akses yang berasal dari refresh token, dapat memungkinkan penyusup terus beroperasi tanpa prompt kata sandi atau MFA baru sampai token yang relevan dicabut. Panduan Microsoft untuk pencurian token secara eksplisit menyarankan pemblokiran pengguna atau perangkat terdampak serta pencabutan token aktif. 40

Risikonya meningkat dalam kasus Knight Office karena aktivitas pascakompromi yang dilaporkan mencakup pendaftaran host tanpa izin ke Microsoft Entra ID dan penyiapan kredensial Windows Hello for Business yang dikendalikan pelaku. 6 Hal ini dapat menciptakan jalur autentikasi terpisah. Jadi, setelah sesi web dicabut atau kata sandi diubah, tim keamanan tetap harus memastikan tidak ada perangkat ilegal atau metode autentikasi baru yang tertinggal.

Konsep persistensi serupa juga telah didokumentasikan pada phishing device code. Microsoft melaporkan bahwa refresh token yang diperoleh dari penyalahgunaan alur device code dapat digunakan untuk meminta akses pendaftaran perangkat dan mendaftarkan perangkat yang dikendalikan pelaku di Entra ID. 28

Phishing device code terkait, tetapi tidak sama dengan AiTM

AiTM mem-proxy proses masuk secara langsung dan mencuri sesi yang dihasilkan. Sementara itu, phishing device code menyalahgunakan alur otorisasi perangkat OAuth yang sah: pelaku memulai permintaan device code, membujuk korban memasukkan kode dan melakukan autentikasi, lalu menerima token untuk klien yang dikendalikan pelaku apabila korban menyetujuinya. 22

Keduanya menggeser sasaran pelaku dari pengumpulan kata sandi ke perolehan artefak otorisasi yang dapat digunakan. Karena itu, program deteksi harus mencakup kedua jalur tersebut. Panduan Elastic menyoroti pola masuk Entra interaktif yang berhasil dengan protokol device code, klien Microsoft Authentication Broker, dan permintaan ke layanan pihak pertama seperti Exchange Online, Microsoft Graph, atau SharePoint. 17

Aktivitas yang diamati dan konteks PhaaS

Investigasi Huntress menetapkan rangkaian intrusi Knight Office yang nyata: umpan bertema dokumen, pengalihan berlapis, pencurian token sesi, dan pendaftaran perangkat Entra tanpa izin. Huntress juga mengaitkan pemutaran ulang token berulang dalam telemetrinya dengan satu alamat IP, tetapi temuan itu tidak boleh dianggap sebagai jumlah korban secara global. 6

Knight Office juga sejalan dengan pasar phishing-as-a-service (PhaaS) yang menyasar sesi identitas Microsoft 365:

• Mirage2FA menggunakan infrastruktur AiTM untuk menangkap kredensial dan sesi terautentikasi. ANY.RUN melaporkan 9.332 potensi peristiwa kompromi pada 2024–2026, termasuk 4.561 peristiwa pencurian cookie. Angka itu berbasis telemetri dan merupakan potensi kejadian, bukan jumlah korban yang telah terkonfirmasi. 4
• Kali365, yang pertama kali terlihat pada April 2026 dan terutama didistribusikan melalui Telegram, menjadi subjek peringatan FBI karena kemampuannya memperoleh token akses dan refresh token OAuth Microsoft 365. 1

Pelajaran pertahanannya sederhana: sesi dan token harus dilindungi, dideteksi, dan ditangani dengan tingkat keseriusan yang sama seperti kompromi kata sandi.

Prioritas deteksi untuk Entra ID dan Microsoft 365

Fokuslah pada korelasi, bukan satu peringatan tunggal.

1. Cari pemutaran ulang sesi yang mencurigakan

Selidiki aktivitas masuk ketika akun atau sesi yang sama muncul dari alamat IP, jaringan, lokasi geografis, peramban, atau karakteristik perangkat yang sangat berbeda dalam waktu singkat—terutama segera setelah MFA berhasil. Microsoft mencatat deteksi untuk penggunaan token anomali dan properti masuk yang tidak familier terkait cookie sesi. 38

2. Buru aktivitas device code yang janggal

Tinjau autentikasi device code yang berhasil dan nilai apakah klien, IP sumber, sumber daya yang diminta, serta perilaku pengguna masuk akal. Di log masuk Entra, aktivitas ini dapat dikenali lewat field seperti authenticationProtocol: deviceCode dan originalTransferMethod: deviceCodeFlow. 26

3. Pantau perubahan yang menciptakan persistensi

Prioritaskan peristiwa audit Entra yang melibatkan:

• Registrasi atau join perangkat baru, perubahan kepemilikan, maupun pengenal perangkat yang tidak lazim.
• Penambahan Windows Hello for Business, FIDO2/passkey, MFA, atau metode autentikasi pemulihan.
• Pemberian persetujuan aplikasi, perubahan aplikasi perusahaan, service principal, atau penetapan peran berprivilege.
• Perubahan Conditional Access, named location, federasi, penerusan email, dan aturan kotak masuk.

Pendaftaran perangkat tanpa izin segera setelah autentikasi mencurigakan harus diperlakukan sebagai sinyal prioritas tinggi untuk persistensi identitas. 2628

4. Korelasikan bukti email dan identitas

Pesan bertema DocuSign sendiri mungkin hanya spam, sedangkan perangkat Entra baru sendiri bisa saja sah. Namun kombinasi pesan mencurigakan, bukti rantai pengalihan, MFA yang berhasil, penggunaan ulang sesi anomali, serta perubahan perangkat atau metode autentikasi jauh lebih layak ditindaklanjuti.

Respons insiden: tangani identitas, bukan hanya kata sandi

Untuk dugaan pencurian token melalui AiTM atau device code, gunakan alur penahanan berbasis identitas.

1. Blokir atau nonaktifkan identitas terdampak bila diperlukan. Nonaktifkan akun pengguna dan perangkat terdampak sambil menentukan cakupan insiden. 40
2. Cabut sesi aktif dan refresh token. Gunakan proses pencabutan sesi masuk Entra, lalu paksa autentikasi ulang. Microsoft secara khusus merekomendasikan pencabutan refresh token melalui revokeSignInSessions dalam respons terhadap phishing device code. 27
3. Reset kredensial, tetapi jangan berhenti di sana. Reset kata sandi adalah penahanan tambahan, bukan bukti bahwa akses pelaku telah hilang. 4042
4. Hapus persistensi. Identifikasi dan hapus perangkat Entra tanpa izin; tinjau kepemilikan perangkat; hapus Windows Hello for Business, FIDO2, MFA, pemulihan, dan kredensial aplikasi yang baru ditambahkan; serta periksa persetujuan aplikasi. 628
5. Lakukan perburuan di seluruh tenant. Cari URL umpan, infrastruktur pengalihan, IP sumber mencurigakan, peristiwa device code, anomali masuk pasca-MFA, dan pendaftaran perangkat baru yang serupa pada semua pengguna.
6. Nilai dampak bisnis. Tinjau aktivitas Exchange, SharePoint, OneDrive, Teams, Microsoft Graph, OAuth, dan audit administratif untuk akses data, aturan kotak masuk, penerusan email, berbagi eksternal, penyalahgunaan persetujuan, perubahan privilege, serta akses aplikasi yang terhubung SSO.
7. Amankan bukti sebelum pembersihan. Simpan email phishing dan header-nya, jejak email, rantai pengalihan, log masuk serta audit Entra, catatan perangkat, catatan persetujuan OAuth, dan telemetri peramban atau endpoint.

Mengurangi paparan sebelum umpan berikutnya

Autentikasi tahan-phishing penting bagi pengguna berisiko tinggi, tetapi harus menjadi bagian dari pertahanan berlapis. Microsoft merekomendasikan metode tahan-phishing seperti kunci keamanan FIDO2, Windows Hello for Business, dan autentikasi berbasis sertifikat, disertai kontrol untuk mengurangi masa berlaku sesi pada perangkat yang tidak dikelola. 39

Organisasi juga perlu mengevaluasi apakah alur device code memang diperlukan, membatasi pendaftaran perangkat tanpa otorisasi, menerapkan Conditional Access berdasarkan perangkat yang patuh dan risiko, serta memastikan tim operasi dapat mencabut sesi dengan cepat dan menyelidiki perubahan objek identitas.

Pelajaran utama dari Knight Office bukanlah bahwa MFA gagal. Serangan ini menunjukkan bahwa keberhasilan MFA dapat menjadi awal kompromi ketika pelaku mencuri sesi yang muncul sesudahnya. Respons baru dapat dianggap selesai jika sesi, perangkat, metode autentikasi, dan akses yang didelegasikan di seluruh tenant telah diperiksa serta diamankan.