Knight Office: MFA Selesai Bukan Bererti Sesi Microsoft 365 Selamat

MFA mengesahkan satu log masuk, tetapi ia tidak semestinya melindungi sesi yang terhasil selepas log masuk itu. Itulah pengajaran utama daripada Knight Office, kit phishing adversary-in-the-middle (AiTM) yang didokumentasikan Huntress. Dalam insiden tersebut, penyerang memperoleh bahan sesi Microsoft 365 dan kemudian mendaftarkan peranti tanpa kebenaran dalam Microsoft Entra ID. Ini perlu dianggap sebagai kompromi identiti, bukan sekadar kecurian kata laluan. 640

Bagaimana rantaian serangan Knight Office berlaku

Serangan yang diperhatikan bermula dengan e-mel phishing bergaya DocuSign. Pautannya melalui perkhidmatan penjejakan Monday.com, sebelum membawa mangsa ke laman Joomla yang telah dikompromi. Rantaian lencongan ini menyembunyikan laman phishing sebenar daripada semakan reputasi dan pemeriksaan asas pautan e-mel. 6

Pada peringkat seterusnya, mangsa boleh dihadapkan dengan aliran kerja kolaborasi atau log masuk Microsoft yang kelihatan meyakinkan, termasuk interaksi menyerupai kod pengesahan peranti. Matlamatnya ialah membuatkan mangsa meluluskan proses pengesahan yang disangka sah.

Komponen AiTM berfungsi sebagai proksi songsang di antara mangsa dengan perkhidmatan log masuk Microsoft yang sebenar:

1. Mangsa memasukkan kelayakan dan melengkapkan cabaran MFA biasa.
2. Proksi menyampaikan interaksi itu kepada Microsoft dalam masa nyata.
3. Selepas pengesahan berjaya, penyerang menangkap kuki sesi yang telah disahkan atau bahan token lain yang dikembalikan kepada pelayar.
4. Penyerang memainkan semula keadaan sesi sah itu daripada infrastruktur mereka sendiri untuk mengakses akaun.

Ini bukan bermakna kriptografi MFA telah dipecahkan. Sebaliknya, penyerang mencuri keadaan kebenaran yang dikeluarkan selepas MFA berjaya. Microsoft mentakrifkan kecurian token sebagai kompromi dan penggunaan semula token yang dikeluarkan kepada pengguna, walaupun pengguna itu mungkin sudah memenuhi MFA. 40

Mengapa tetapan semula kata laluan mungkin tidak mengusir penyerang

Sesi pelayar yang dicuri atau akses yang diperoleh melalui token muat semula boleh membolehkan penceroboh terus beroperasi tanpa diminta kata laluan atau MFA lagi, sehingga token berkaitan dibatalkan. Panduan Microsoft bagi kecurian token secara jelas menyarankan pengguna atau peranti terjejas disekat dan token semasa dibatalkan. 40

Knight Office meningkatkan risiko ini kerana aktiviti selepas kompromi yang dilaporkan termasuk pendaftaran hos tanpa kebenaran ke dalam Microsoft Entra ID serta penyediaan kelayakan Windows Hello for Business yang dikawal penyerang. 6 Ini boleh membuka laluan pengesahan baharu. Maka, walaupun sesi web asal dibatalkan atau kata laluan ditetapkan semula, pasukan keselamatan mesti memastikan tiada peranti tidak sah atau kaedah pengesahan baharu yang kekal.

Konsep ketekunan yang sama turut didokumenkan dalam penyelidikan phishing kod peranti. Microsoft melaporkan token muat semula daripada aliran kod peranti yang disalahgunakan boleh digunakan untuk mendapatkan akses bagi pendaftaran peranti dan mendaftarkan peranti yang dikawal pelaku dalam Entra ID. 28

Phishing kod peranti berkait, tetapi tidak sama dengan AiTM

Phishing AiTM memproksikan log masuk langsung dan mencuri sesi yang terhasil. Phishing kod peranti pula menyalahgunakan aliran pengesahan peranti OAuth yang sah: penyerang memulakan permintaan kod peranti, memperdaya mangsa supaya memasukkan kod dan mengesahkan diri, lalu menerima token bagi klien yang dikawal penyerang jika mangsa meluluskannya. 22

Kedua-dua teknik mengalihkan sasaran penyerang daripada kutipan kata laluan kepada pemerolehan artifak kebenaran yang boleh digunakan. Oleh itu, program pengesanan perlu meliputi kedua-dua laluan. Panduan Elastic menyerlahkan log masuk Entra interaktif yang berjaya menggunakan protokol kod peranti, klien Microsoft Authentication Broker, serta permintaan kepada sumber pihak pertama seperti Exchange Online, Microsoft Graph atau SharePoint. 17

Aktiviti diperhatikan dan konteks PhaaS

Siasatan Huntress mengesahkan urutan pencerobohan Knight Office: umpan bertema dokumen, lencongan berbilang peringkat, tangkapan token sesi dan pendaftaran peranti Entra tanpa kebenaran. Huntress turut mengaitkan penggunaan semula token berulang dalam telemetrinya kepada satu alamat IP, namun pemerhatian itu tidak boleh dianggap sebagai jumlah mangsa global. 6

Knight Office juga seiring dengan pasaran lebih luas bagi kit phishing-as-a-service (PhaaS) yang menyasarkan sesi identiti Microsoft 365:

• Mirage2FA menggunakan infrastruktur AiTM untuk menangkap kelayakan dan sesi yang telah disahkan. ANY.RUN melaporkan 9,332 kejadian kompromi berpotensi antara 2024 hingga 2026, termasuk 4,561 kejadian kecurian kuki. Angka ini ialah kejadian berpotensi berasaskan telemetri, bukannya jumlah mangsa yang disahkan. 4
• Kali365, yang pertama kali dilihat pada April 2026 dan diedarkan terutamanya melalui Telegram, menjadi subjek amaran FBI kerana keupayaannya mendapatkan token akses dan token muat semula OAuth Microsoft 365. 1

Pengajaran pertahanannya jelas: sesi dan token perlu dilindungi, dikesan dan ditangani dengan tahap keseriusan yang sama seperti kompromi kata laluan.

Keutamaan pengesanan untuk Entra ID dan Microsoft 365

Tumpukan pada korelasi antara isyarat, bukan satu amaran semata-mata.

1. Kesan penggunaan semula sesi yang mencurigakan

Siasat log masuk apabila akaun atau sesi yang sama muncul daripada alamat IP, rangkaian, lokasi geografi, pelayar atau ciri peranti yang berbeza secara ketara dalam tempoh singkat — khususnya sejurus selepas MFA berjaya. Microsoft menyediakan pengesanan bagi penggunaan token anomali dan sifat log masuk yang tidak dikenali berkaitan kuki sesi. 38

2. Buru aktiviti kod peranti yang meragukan

Semak pengesahan kod peranti yang berjaya dan tentukan sama ada klien, IP sumber, sumber yang diminta serta tingkah laku pengguna adalah munasabah. Dalam log log masuk Entra, aktiviti ini boleh dikenal pasti melalui medan seperti authenticationProtocol: deviceCode dan originalTransferMethod: deviceCodeFlow. 26

3. Pantau perubahan yang mewujudkan ketekunan

Utamakan peristiwa audit Entra yang melibatkan:

• Pendaftaran, penyertaan atau perubahan pemilikan peranti baharu, termasuk pengecam peranti yang luar biasa.
• Kaedah pengesahan Windows Hello for Business, FIDO2/passkey, MFA atau pemulihan yang baru ditambah.
• Pemberian persetujuan aplikasi, perubahan aplikasi perusahaan, prinsipal perkhidmatan atau penugasan peranan berkeistimewaan.
• Perubahan Conditional Access, lokasi bernama, persekutuan, pemajuan peti mel dan peraturan peti masuk.

Pendaftaran peranti tanpa kebenaran sejurus selepas pengesahan mencurigakan wajar dianggap sebagai isyarat ketekunan identiti berkeutamaan tinggi. 2628

4. Hubungkan bukti e-mel dan identiti

E-mel bertema DocuSign sahaja mungkin spam, manakala peranti Entra baharu sahaja mungkin sah. Namun gabungan mesej mencurigakan, bukti rantaian lencongan, MFA yang berjaya, penggunaan sesi anomali serta perubahan peranti atau kaedah pengesahan jauh lebih boleh diambil tindakan.

Respons insiden: kawal identiti, bukan hanya kata laluan

Bagi insiden disyaki AiTM atau kecurian token melalui kod peranti, gunakan aliran kerja pembendungan identiti.

1. Sekat atau nyahdayakan identiti yang terjejas jika perlu. Nyahdayakan akaun pengguna dan peranti terjejas semasa skop insiden ditentukan. 40
2. Batalkan sesi semasa dan token muat semula. Gunakan proses pembatalan sesi log masuk Entra, kemudian paksa pengesahan semula. Microsoft secara khusus menyarankan pembatalan token muat semula dengan revokeSignInSessions untuk respons phishing kod peranti. 27
3. Tetapkan semula kelayakan, tetapi jangan berhenti di situ. Tetapan semula kata laluan ialah pembendungan tambahan, bukan bukti bahawa akses penyerang sudah hilang. 4042
4. Buang ketekunan. Kenal pasti dan keluarkan peranti Entra tanpa kebenaran; semak pemilikan peranti; buang kelayakan Windows Hello for Business, FIDO2, MFA, pemulihan dan aplikasi yang baru ditambah; serta periksa pemberian persetujuan. 628
5. Buru ancaman merentas seluruh penyewa. Cari URL umpan, infrastruktur lencongan, IP sumber mencurigakan, peristiwa kod peranti, anomali log masuk selepas MFA dan pendaftaran peranti baharu yang sepadan bagi semua pengguna.
6. Nilai kesan perniagaan. Semak aktiviti audit Exchange, SharePoint, OneDrive, Teams, Microsoft Graph, OAuth dan pentadbiran bagi akses data, peraturan peti mel, pemajuan, perkongsian luaran, penyalahgunaan persetujuan, perubahan keistimewaan dan akses aplikasi yang disambungkan melalui SSO.
7. Simpan bukti sebelum pembersihan. Kekalkan e-mel phishing bersama pengepala, jejak e-mel, rantaian lencongan, log log masuk dan audit Entra, rekod peranti, rekod persetujuan OAuth, serta telemetri pelayar atau titik hujung.

Kurangkan pendedahan sebelum umpan seterusnya

Pengesahan tahan phishing penting khususnya untuk pengguna berisiko tinggi, tetapi ia perlu menjadi sebahagian daripada pertahanan berlapis. Microsoft mengesyorkan kaedah tahan phishing seperti kunci keselamatan FIDO2, Windows Hello for Business dan pengesahan berasaskan sijil, di samping kawalan yang mengehadkan tempoh sesi boleh digunakan pada peranti tidak diurus. 39

Organisasi juga perlu menilai sama ada aliran kod peranti benar-benar diperlukan, mengehadkan pendaftaran peranti tanpa kebenaran, menggunakan Conditional Access berasaskan peranti patuh dan risiko, serta memastikan pasukan operasi boleh membatalkan sesi dan menyiasat perubahan objek identiti dengan pantas.

Inti pati daripada Knight Office bukanlah MFA telah gagal. Sebaliknya, MFA yang berjaya boleh menjadi permulaan kompromi apabila penyerang mencuri sesi yang terhasil selepasnya. Respons hanya lengkap apabila sesi, peranti, kaedah pengesahan dan akses yang diwakilkan dalam penyewa semuanya telah diperiksa serta dibendung.