Knight Office: Slik stjeles Microsoft 365-økter etter MFA

MFA bekrefter at en innlogging er legitim, men beskytter ikke nødvendigvis økten som opprettes etterpå. Knight Office-hendelsen, dokumentert av Huntress, viser dette tydelig: En adversary-in-the-middle-angrepskjede (AiTM) fanget opp øktmateriale fra Microsoft 365, før en uautorisert enhet ble registrert i Microsoft Entra ID. Dette bør derfor håndteres som et kompromiss av identiteten, ikke som et avgrenset passordtyveri. 640

Slik fungerer angrepskjeden

Det observerte angrepet startet med en phishing-e-post som etterlignet DocuSign. Lenken gikk først gjennom en sporingstjeneste fra Monday.com og deretter via et kompromittert Joomla-nettsted. Formålet var å skjule den endelige phishing-destinasjonen for omdømmesjekker og enkel inspeksjon av e-postlenker. 6

På landingssiden kan offeret bli ført gjennom en overbevisende Microsoft-lignende samarbeids- eller innloggingsflyt, også med en interaksjon som ligner autentisering med en enhetskode. Målet er å få brukeren til å godkjenne en autentiseringsflyt vedkommende oppfatter som legitim.

AiTM-leddet fungerer som en omvendt proxy mellom offeret og Microsofts ekte innloggingstjeneste:

1. Offeret oppgir brukernavn og passord og fullfører den vanlige MFA-utfordringen.
2. Proxyen videresender samhandlingen til Microsoft i sanntid.
3. Når autentiseringen lykkes, fanger angriperen opp den autentiserte øktinformasjonskapselen eller annet tokenmateriale som returneres til nettleseren.
4. Angriperen spiller deretter av den autentiserte tilstanden fra egen infrastruktur for å få tilgang til kontoen.

Dette betyr ikke at MFA-kryptografien er brutt. Angriperen stjeler autorisasjonstilstanden som ble opprettet etter MFA. Microsoft definerer token-tyveri som kompromittering og gjenbruk av tokener utstedt til en bruker som allerede kan ha oppfylt krav om flerfaktorautentisering. 40

Hvorfor passordbytte ikke nødvendigvis avslutter inntrengningen

En stjålet nettleserøkt eller tilgang avledet fra et oppdateringstoken kan la inntrengeren fortsette uten ny passordforespørsel eller MFA-utfordring, helt til de relevante tokenene er tilbakekalt. Microsofts veiledning for token-tyveri anbefaler eksplisitt å blokkere berørte brukere eller enheter og tilbakekalle gjeldende tokener. 40

Knight Office gjør situasjonen mer alvorlig fordi den rapporterte aktiviteten etter kompromittering omfattet registrering av en uautorisert vert i Microsoft Entra ID og oppsett av angriperkontrollerte Windows Hello for Business-legitimasjoner. 6 Det kan skape en separat autentiseringsvei. Selv etter at den opprinnelige nettøkten er tilbakekalt eller passordet er endret, må forsvarerne kontrollere at ingen uautorisert enhet eller ny autentiseringsmetode står igjen.

Samme type vedvarende tilgang er dokumentert i forskning på phishing med enhetskode. Microsoft har beskrevet hvordan et oppdateringstoken fra en misbrukt enhetskodeflyt kan brukes til å hente tilgang for enhetsregistrering og registrere en angriperkontrollert enhet i Entra ID. 28

Enhetskode-phishing er beslektet med AiTM – men ikke det samme

AiTM-phishing proxier en aktiv innlogging og stjeler den resulterende økten. Enhetskode-phishing misbruker i stedet en legitim OAuth-flyt for enhetsautorisering: Angriperen starter en forespørsel om enhetskode, overtaler offeret til å skrive inn koden og autentisere seg, og kan få tokener til angriperens klient dersom offeret godkjenner. 22

Begge teknikkene flytter angriperens mål fra passordinnsamling til å få tak i brukbare autorisasjonsartefakter. Overvåking bør derfor dekke begge angrepsveiene. Elastics deteksjonsveiledning peker blant annet på vellykkede, interaktive Entra-innlogginger med enhetskodeprotokollen, klienten Microsoft Authentication Broker og forespørsler om førstepartsressurser som Exchange Online, Microsoft Graph eller SharePoint. 17

Observert aktivitet og PhaaS-konteksten

Huntress' undersøkelse dokumenterte en reell Knight Office-sekvens: et dokumentrelatert lokkemiddel, videresendinger i flere ledd, fangst av økttokener og uautorisert Entra-enhetsregistrering. Huntress knyttet også gjentatt token-gjenbruk i sin telemetri til én IP-adresse, men dette må ikke tolkes som et globalt antall berørte ofre. 6

Knight Office passer inn i et bredere marked for phishing-as-a-service (PhaaS)-sett som retter seg mot identitetsøkter i Microsoft 365:

• Mirage2FA bruker AiTM-infrastruktur for å fange legitimasjon og autentiserte økter. ANY.RUN rapporterte 9 332 potensielle kompromitteringshendelser mellom 2024 og 2026, hvorav 4 561 var hendelser med cookie-tyveri. Dette er telemetribaserte potensielle hendelser, ikke et antall bekreftede ofre. 4
• Kali365, først observert i april 2026 og hovedsakelig distribuert via Telegram, var gjenstand for en FBI-advarsel på grunn av evnen til å innhente OAuth-tilgangs- og oppdateringstokener for Microsoft 365. 1

Det felles forsvarsbudskapet er enkelt: Beskytt, oppdag og håndter misbruk av økter og tokener like grundig som kompromitterte passord.

Hva bør overvåkes i Entra ID og Microsoft 365?

Se etter sammenhenger, ikke bare enkeltvarsler.

1. Finn mistenkelig gjenbruk av økter

Undersøk innlogginger der samme konto eller økt dukker opp fra vesentlig ulike IP-adresser, nettverk, geografiske områder, nettlesere eller enhetsegenskaper innen kort tid – særlig rett etter vellykket MFA. Microsoft beskriver deteksjoner for unormal tokenbruk og ukjente innloggingsegenskaper knyttet til øktinformasjonskapsler. 38

2. Let etter mistenkelig enhetskodeaktivitet

Gå gjennom vellykkede autentiseringer med enhetskode og vurder om klienten, kilde-IP-en, den forespurte ressursen og brukerens aktivitet er forventet. I Entra-innloggingslogger kan enhetskodeaktivitet blant annet identifiseres med feltene authenticationProtocol: deviceCode og originalTransferMethod: deviceCodeFlow. 26

3. Overvåk endringer som kan gi vedvarende tilgang

Prioriter Entra-revisjonshendelser som gjelder:

• Nye enhetsregistreringer, enhetstilknytninger, eierskapsendringer eller uvanlige enhetsidentifikatorer.
• Nylig tilføyde autentiseringsmetoder for Windows Hello for Business, FIDO2/passkeys, MFA eller kontogjenoppretting.
• Samtykke til applikasjoner, endringer i virksomhetsapplikasjoner, tjenesteprinsipaler eller tildeling av privilegerte roller.
• Endringer i betinget tilgang, navngitte plasseringer, føderasjon, videresending av e-post eller innboksregler.

En uautorisert enhetsregistrering kort etter mistenkelig autentisering bør behandles som et høyt prioritert signal om vedvarende identitetstilgang. 2628

4. Koble e-post- og identitetsbevis sammen

En DocuSign-lignende e-post kan være vanlig spam, og en ny Entra-enhet kan være legitim. Kombinasjonen av en mistenkelig melding, spor etter videresendingskjeden, en vellykket MFA-hendelse, unormal gjenbruk av økten og en endring i enhet eller autentiseringsmetode er langt mer handlingsrelevant.

Hendelseshåndtering: Stans identiteten, ikke bare passordet

Ved mistanke om AiTM- eller enhetskodebasert token-tyveri bør virksomheten følge en prosess for inneslutning av identitetshendelser.

1. Blokker eller deaktiver den berørte identiteten ved behov. Deaktiver berørte bruker- og enhetskontoer mens omfanget avklares. 40
2. Tilbakekall gjeldende økter og oppdateringstokener. Bruk Entra-prosessen for tilbakekalling av innloggingsøkter, og krev ny autentisering. Microsoft anbefaler spesifikt tilbakekalling av oppdateringstokener med revokeSignInSessions i responsen på enhetskode-phishing. 27
3. Tilbakestill passord, men stans ikke der. Passordbytte er et tilleggstiltak, ikke bevis på at angriperens tilgang er fjernet. 4042
4. Fjern vedvarende tilgang. Finn og fjern uautoriserte Entra-enheter, gjennomgå eierskap til enheter, fjern nylig tilføyde Windows Hello for Business-, FIDO2-, MFA-, gjenopprettings- og applikasjonslegitimasjoner, og kontroller samtykker. 628
5. Søk i hele tenant-miljøet. Let etter tilsvarende lokkelenker, videresendingsinfrastruktur, mistenkelige kilde-IP-er, enhetskodehendelser, avvik etter MFA og nye enhetsregistreringer hos alle brukere.
6. Vurder virksomhetspåvirkningen. Gå gjennom revisjonsaktivitet i Exchange, SharePoint, OneDrive, Teams, Microsoft Graph, OAuth og administrasjonslogger for datatilgang, innboksregler, videresending, ekstern deling, misbruk av samtykke, privilegieendringer og tilgang til applikasjoner koblet via SSO.
7. Sikre bevis før opprydding. Ta vare på phishing-meldinger og e-posthoder, meldingssporing, videresendingskjeder, Entra-innloggings- og revisjonslogger, enhetsoppføringer, OAuth-samtykker og telemetri fra nettleser eller endepunkt.

Reduser risikoen før neste lokkemiddel

Phishing-resistent autentisering er viktig for brukere med høy risiko, men bør inngå i et lagdelt forsvar. Microsoft anbefaler phishing-resistente metoder som FIDO2-sikkerhetsnøkler, Windows Hello for Business og sertifikatbasert autentisering, sammen med kontroller som reduserer brukstiden til økter på ikke-administrerte enheter. 39

Virksomheter bør også vurdere om enhetskodeflyt faktisk er nødvendig, begrense uautorisert enhetsregistrering, bruke betinget tilgang basert på kompatible enheter og risiko, og sikre at driftsteamet raskt kan tilbakekalle økter og undersøke endringer i identitetsobjekter.

Det viktigste poenget fra Knight Office er ikke at MFA har sviktet. En vellykket MFA-hendelse kan være starten på kompromitteringen dersom angriperen stjeler økten som følger. Responsen er først komplett når tenant-miljøets økter, enheter, autentiseringsmetoder og delegerte tilganger er kontrollert og innesluttet.