Knight Office steelt Microsoft 365-sessies na MFA: zo reageer je

Knight Office laat zien waarom MFA alleen geen volledige bescherming biedt voor een al aangemelde Microsoft 365-sessie. In het door Huntress onderzochte incident onderschepte een adversary-in-the-middle-aanval (AiTM) sessiemateriaal van Microsoft 365, waarna een ongeautoriseerd apparaat in Microsoft Entra ID werd geregistreerd. Operationeel moet dit dus worden behandeld als een identiteitscompromis, niet als alleen wachtwoorddiefstal. 640

Zo verloopt de aanvalsketen

De waargenomen aanval begon met een phishingmail in DocuSign-stijl. De link liep eerst via een trackingdienst van Monday.com en daarna via een gecompromitteerde Joomla-site. Zo werd de uiteindelijke phishingsite verhuld voor reputatiecontroles en eenvoudige inspectie van e-maillinks. 6

De landingspagina kan een geloofwaardige Microsoft-samenwerkings- of aanmeldprocedure nabootsen en het slachtoffer verleiden om door te gaan met authenticatie, eventueel met een apparaatcode-achtige stap. Het doel is dat de gebruiker een authentieke ogende aanmelding goedkeurt.

Bij AiTM fungeert de phishinginfrastructuur als reverse proxy tussen het slachtoffer en de echte Microsoft-aanmeldservice:

1. Het slachtoffer voert inloggegevens in en rondt de normale MFA-controle af.
2. De proxy geeft die interacties direct door aan Microsoft.
3. Na een geslaagde aanmelding onderschept de aanvaller de geauthenticeerde sessiecookie of ander tokenmateriaal dat naar de browser terugkeert.
4. De aanvaller speelt die geauthenticeerde sessiestatus opnieuw af vanaf eigen infrastructuur en krijgt zo toegang tot het account.

Dit betekent niet dat de cryptografie achter MFA is gekraakt. De aanvaller steelt de autorisatiestatus die na MFA is uitgegeven. Microsoft definieert tokendiefstal als het compromitteren en opnieuw gebruiken van tokens die voor een gebruiker zijn uitgegeven, ook als die gebruiker MFA al heeft voltooid. 40

Waarom een wachtwoordreset niet genoeg kan zijn

Een gestolen browsersessie of toegang die uit een refresh token is verkregen, kan een indringer toegang geven zonder nieuwe wachtwoord- of MFA-prompt, totdat de relevante tokens zijn ingetrokken. Microsoft adviseert bij tokendiefstal expliciet getroffen gebruikers of apparaten te blokkeren en de huidige tokens in te trekken. 40

Knight Office maakt dit ernstiger doordat de gemelde activiteiten na de initiële toegang ook bestonden uit het registreren van een ongeautoriseerde host in Microsoft Entra ID en het instellen van door de aanvaller beheerde Windows Hello for Business-referenties. 6 Daarmee kan een apart aanmeldpad ontstaan. Na het intrekken van de oorspronkelijke websessie of een wachtwoordreset moeten beheerders daarom controleren of er geen ongeautoriseerd apparaat of nieuwe verificatiemethode is achtergebleven.

Dat mechanisme voor persistentie is ook bekend uit onderzoek naar phishing met apparaatcodes. Microsoft beschreef hoe een refresh token uit een misbruikte apparaatcodeflow kan worden gebruikt om toegang voor apparaatregistratie te verkrijgen en een door een aanvaller beheerd apparaat in Entra ID te registreren. 28

Apparaatcode-phishing is verwant aan, maar niet hetzelfde als AiTM

AiTM-phishing proxy't een live aanmelding en steelt de sessie die daaruit voortkomt. Phishing met apparaatcodes misbruikt daarentegen een legitieme OAuth-autorisatiestroom voor apparaten: de aanvaller start een aanvraag voor een apparaatcode, verleidt het slachtoffer die code in te voeren en zich aan te melden, en ontvangt tokens voor de door de aanvaller beheerde client als het slachtoffer toestemming geeft. 22

In beide gevallen verschuift het doel van de aanvaller van het verzamelen van wachtwoorden naar het bemachtigen van bruikbare autorisatieartefacten. Detectie moet daarom beide routes omvatten. Elastic wijst bij apparaatcode-detectie op succesvolle, interactieve Entra-aanmeldingen met het apparaatcodeprotocol, de Microsoft Authentication Broker-client en aanvragen voor Microsoft-diensten zoals Exchange Online, Microsoft Graph of SharePoint. 17

Waargenomen activiteit en de PhaaS-context

Het onderzoek van Huntress bevestigde een concrete Knight Office-inbraak: een documentgerelateerd lokbericht, omleidingen via meerdere tussenstappen, onderschepping van sessietokens en ongeautoriseerde Entra-apparaatregistratie. Huntress koppelde herhaald tokenreplay in de eigen telemetrie aan één IP-adres, maar die waarneming mag niet worden gelezen als een wereldwijd slachtofferaantal. 6

Knight Office past in een bredere markt voor phishing-as-a-servicekits die zich richten op Microsoft 365-identiteitssessies:

• Mirage2FA gebruikt AiTM-infrastructuur om inloggegevens en geauthenticeerde sessies te onderscheppen. ANY.RUN rapporteerde 9.332 potentiële compromitteringen tussen 2024 en 2026, waaronder 4.561 gevallen van cookie-diefstal. Het gaat om potentiële gebeurtenissen uit telemetrie, niet om een telling van bevestigde slachtoffers. 4
• Kali365, voor het eerst gezien in april 2026 en vooral verspreid via Telegram, was onderwerp van een FBI-waarschuwing vanwege de mogelijkheid Microsoft 365 OAuth-toegangs- en refresh tokens te bemachtigen. 1

De gezamenlijke les is helder: bescherm, detecteer en behandel misbruik van sessies en tokens net zo serieus als een gelekt wachtwoord.

Detectieprioriteiten in Entra ID en Microsoft 365

Kijk vooral naar verbanden tussen signalen, niet naar één losse waarschuwing.

1. Zoek naar verdachte sessiereplay

Onderzoek aanmeldingen waarbij hetzelfde account of dezelfde sessie binnen korte tijd vanaf duidelijk verschillende IP-adressen, netwerken, geografische locaties, browsers of apparaateigenschappen verschijnt — vooral direct na een geslaagde MFA-controle. Microsoft noemt detecties voor afwijkend tokengebruik en onbekende aanmeldeigenschappen bij sessiecookies. 38

2. Jaag op verdachte apparaatcode-activiteit

Beoordeel succesvolle apparaatcode-aanmeldingen op logische samenhang: passen de client, het bron-IP, de aangevraagde dienst en het gedrag bij de gebruiker? In Entra-aanmeldingslogs kan deze activiteit herkenbaar zijn aan velden zoals authenticationProtocol: deviceCode en originalTransferMethod: deviceCodeFlow. 26

3. Let op wijzigingen die persistentie kunnen geven

Geef prioriteit aan Entra-auditgebeurtenissen rond:

• nieuwe apparaatregistraties, joins, wijzigingen in eigenaarschap of ongebruikelijke apparaat-ID's;
• nieuw toegevoegde Windows Hello for Business-, FIDO2/passkey-, MFA- of herstelmethoden;
• app-toestemming, wijzigingen aan enterprise applications, service principals of toekenning van bevoorrechte rollen;
• wijzigingen in Conditional Access, named locations, federatie, mailboxdoorsturing of inboxregels.

Een ongeautoriseerde apparaatregistratie kort na een verdachte aanmelding is een signaal met hoge prioriteit voor identiteitspersistentie. 2628

4. Combineer e-mail- en identiteitsbewijs

Een DocuSign-achtige mail kan spam zijn en een nieuw Entra-apparaat kan legitiem zijn. De combinatie van een verdachte mail, bewijs van de omleidingsketen, een geslaagde MFA-gebeurtenis, afwijkend sessiehergebruik en een wijziging aan apparaat of verificatiemethode is veel beter bruikbaar voor onderzoek.

Incidentrespons: beperk de identiteit, niet alleen het wachtwoord

Gebruik bij een vermoedelijke AiTM-aanval of apparaatcode-gerelateerde tokendiefstal een aanpak voor identiteitscontainment.

1. Blokkeer of schakel de getroffen identiteit zo nodig uit. Schakel betrokken gebruikers- en apparaataccounts uit terwijl de omvang wordt vastgesteld. 40
2. Trek huidige sessies en refresh tokens in. Gebruik de Entra-procedure voor het intrekken van aanmeldsessies en dwing herauthenticatie af. Microsoft adviseert bij apparaatcode-phishing specifiek refresh tokens in te trekken met revokeSignInSessions. 27
3. Reset referenties, maar stop daar niet. Een wachtwoordreset is aanvullende containment, geen bewijs dat de aanvaller geen toegang meer heeft. 4042
4. Verwijder persistentie. Zoek en verwijder ongeautoriseerde Entra-apparaten, controleer apparaateigenaarschap, verwijder recent toegevoegde Windows Hello for Business-, FIDO2-, MFA-, herstel- en applicatiereferenties en controleer toestemmingsverleningen. 628
5. Doe tenantbreed onderzoek. Zoek bij alle gebruikers naar dezelfde lok-URL's, omleidingsinfrastructuur, verdachte bron-IP's, apparaatcode-gebeurtenissen, afwijkingen na MFA en nieuwe apparaatregistraties.
6. Beoordeel de bedrijfsimpact. Controleer auditactiviteit in Exchange, SharePoint, OneDrive, Teams, Microsoft Graph, OAuth en beheertools op datatoegang, mailboxregels, doorsturing, extern delen, misbruik van toestemming, privilegewijzigingen en toegang via SSO-gekoppelde applicaties.
7. Bewaar bewijs vóór de opschoning. Bewaar phishingmails en headers, mailtraces, omleidingsketens, Entra-aanmeldings- en auditlogs, apparaatrecords, OAuth-toestemmingsgegevens en browser- of endpointtelemetrie.

Verklein de blootstelling vóór de volgende lokmail

Phishingbestendige authenticatie is belangrijk voor gebruikers met een verhoogd risico, maar hoort in een gelaagd programma thuis. Microsoft adviseert phishingbestendige methoden zoals FIDO2-beveiligingssleutels, Windows Hello for Business en certificaatgebaseerde authenticatie, plus maatregelen die de bruikbare levensduur van sessies op onbeheerde apparaten beperken. 39

Organisaties doen er ook goed aan te beoordelen of de apparaatcodeflow werkelijk nodig is, ongeautoriseerde apparaatregistratie te beperken, Conditional Access toe te passen op basis van compatibele apparaten en risico, en het operationele team in staat te stellen sessies snel in te trekken en wijzigingen aan identiteitsobjecten te onderzoeken.

De kernles van Knight Office is niet dat MFA heeft gefaald. Een geslaagde MFA-controle kan juist het begin van de compromittering zijn wanneer een aanvaller de sessie erna steelt. De respons is pas volledig wanneer sessies, apparaten, verificatiemethoden en gedelegeerde toegang in de tenant allemaal zijn gecontroleerd en ingeperkt.