AnswersPublished22 sources
Knight Office: po MFA atakujący kradną sesję Microsoft 365 i budują trwały dostęp
Knight Office wykorzystuje phishing typu AiTM do przechwycenia materiału sesyjnego Microsoft 365 po tym, gdy ofiara pomyślnie ukończy MFA, a następnie może odtworzyć tę uwierzytelnioną sesję. Huntress opisał przynętę stylizowaną na DocuSign, przekierowania przez usługę śledzącą Monday.com i przejętą witrynę Joomla o...
Opublikowane przezEdytowane za pomocą GPT-5.6 TerraObrazy wygenerowane za pomocą GPT Image 2
Research answer
Key takeaways
- Knight Office wykorzystuje phishing typu AiTM do przechwycenia materiału sesyjnego Microsoft 365 po tym, gdy ofiara pomyślnie ukończy MFA, a następnie może odtworzyć tę uwierzytelnioną sesję.
- Huntress opisał przynętę stylizowaną na DocuSign, przekierowania przez usługę śledzącą Monday.com i przejętą witrynę Joomla oraz późniejszą rejestrację nieautoryzowanego hosta w Microsoft Entra ID.
- W odpowiedzi nie wystarczy zmienić hasło: trzeba unieważnić sesje i tokeny, sprawdzić urządzenia oraz metody uwierzytelniania, usunąć mechanizmy trwałego dostępu i przeprowadzić przeszukiwanie całego tenantu.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: How does the newly discovered Knight Office phishing-as-a-service kit use DocuSign-style lures, redirect chains, fake Microsoft SharePoint o. Article summary: Knight Office illustrates that MFA alone does not protect an already authenticated Microsoft 365 session. It proxies a victim’s real sign-in, captures the post-MFA session material, and can convert that access into a sep. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, ch
Knight Office przypomina o istotnym ograniczeniu klasycznego MFA: mechanizm ten potwierdza logowanie, lecz nie chroni automatycznie każdej sesji utworzonej po tym logowaniu. W incydencie opisanym przez Huntress atak typu adversary-in-the-middle (AiTM, „atakujący pośrodku”) doprowadził do przechwycenia materiału sesyjnego Microsoft 365, a następnie do nieautoryzowanej rejestracji urządzenia w Microsoft Entra ID. To należy traktować jako kompromitację tożsamości, a nie wyłącznie kradzież hasła. 6
40
Jak przebiega atak Knight Office
Zidentyfikowany łańcuch zaczynał się od wiadomości phishingowej podszywającej się pod DocuSign. Link prowadził najpierw przez usługę śledzącą Monday.com, a potem przez przejętą stronę opartą na Joomla. Taki układ przekierowań utrudnia reputacyjnym mechanizmom ochrony i analitykom wiadomości ustalenie właściwego adresu strony phishingowej. 6
Na stronie docelowej ofiara może zobaczyć wiarygodnie wyglądający ekran współpracy lub logowania Microsoft, czasem z interakcją przypominającą użycie kodu urządzenia. Celem jest nakłonienie jej do ukończenia procesu uwierzytelnienia, który uzna za prawidłowy.
W części AiTM infrastruktura przestępców działa jak serwer pośredniczący między przeglądarką ofiary a prawdziwą usługą logowania Microsoft:
- Ofiara wpisuje dane logowania i realizuje standardowe wyzwanie MFA.
- Proxy przekazuje te interakcje do Microsoft w czasie rzeczywistym.
- Po udanym uwierzytelnieniu atakujący przechwytuje cookie sesyjne lub inny materiał tokenowy zwrócony do przeglądarki.
- Następnie odtwarza ten uwierzytelniony stan z własnej infrastruktury i uzyskuje dostęp do konta.
Nie oznacza to złamania kryptografii MFA. Atakujący kradnie stan autoryzacji utworzony po przejściu MFA. Microsoft definiuje kradzież tokenu jako przejęcie i odtworzenie tokenów wydanych użytkownikowi, który mógł już spełnić wymóg uwierzytelniania wieloskładnikowego. 40
Dlaczego sam reset hasła nie musi zakończyć włamania
Przejęta sesja przeglądarki lub dostęp oparty na tokenie odświeżania może pozwolić intruzowi działać bez kolejnego pytania o hasło i bez nowego wyzwania MFA — do czasu unieważnienia właściwych tokenów. W wytycznych Microsoft dotyczących kradzieży tokenów wskazano konieczność blokowania objętych incydentem użytkowników lub urządzeń oraz odwołania aktualnych tokenów. 40
W przypadku Knight Office problem jest poważniejszy, ponieważ po uzyskaniu dostępu odnotowano rejestrację nieautoryzowanego hosta w Microsoft Entra ID oraz skonfigurowanie kontrolowanych przez atakującego poświadczeń Windows Hello for Business. 6 Może to stworzyć odrębną ścieżkę uwierzytelnienia. Nawet po unieważnieniu pierwotnej sesji webowej albo resecie hasła zespół bezpieczeństwa musi potwierdzić, że nie pozostało żadne obce urządzenie ani nowa metoda logowania.
Podobny mechanizm utrwalania dostępu opisano w badaniach phishingu z użyciem kodów urządzeń. Microsoft wskazał, że token odświeżania uzyskany w nadużytym przepływie device code może posłużyć do uzyskania tokenu dla usługi rejestracji urządzeń i zarejestrowania w Entra ID urządzenia kontrolowanego przez atakującego. 28
Phishing device code jest powiązany z AiTM, ale to inna technika
Phishing AiTM pośredniczy w aktywnym logowaniu i kradnie utworzoną sesję. Phishing z użyciem kodu urządzenia nadużywa natomiast legalnego przepływu OAuth autoryzacji urządzenia: atakujący inicjuje żądanie kodu, nakłania ofiarę do wpisania go i zalogowania się, a po zatwierdzeniu otrzymuje tokeny dla kontrolowanego przez siebie klienta. 22
W obu wariantach celem przestaje być samo hasło — jest nim użyteczny artefakt autoryzacyjny. Program wykrywania powinien zatem obejmować oba scenariusze. Reguła Elastic zwraca uwagę na udane, interaktywne logowania Entra z protokołem device code, klientem Microsoft Authentication Broker oraz żądaniami zasobów własnych Microsoft, takich jak Exchange Online, Microsoft Graph czy SharePoint. 17
Knight Office na tle rynku PhaaS
Dochodzenie Huntress potwierdziło rzeczywisty ciąg zdarzeń związanych z Knight Office: przynętę dokumentową, wieloetapowe przekierowania, przechwycenie tokenu sesyjnego i nieautoryzowaną rejestrację urządzenia w Entra ID. Huntress powiązał też powtarzające się odtwarzanie tokenów w swojej telemetrii z jednym adresem IP, ale nie należy traktować tego jako globalnej liczby ofiar. 6
Knight Office wpisuje się w szerszy rynek zestawów phishing-as-a-service (PhaaS), wymierzonych w sesje tożsamości Microsoft 365:
- Mirage2FA wykorzystuje infrastrukturę AiTM do przechwytywania poświadczeń i uwierzytelnionych sesji. ANY.RUN podał 9 332 potencjalne zdarzenia kompromitacji w latach 2024–2026, w tym 4 561 zdarzeń kradzieży cookies. To dane telemetryczne o potencjalnych zdarzeniach, a nie liczba potwierdzonych ofiar.
4
- Kali365, zaobserwowany po raz pierwszy w kwietniu 2026 r. i rozpowszechniany przede wszystkim przez Telegram, był przedmiotem ostrzeżenia FBI ze względu na możliwość pozyskiwania tokenów dostępu i odświeżania OAuth do Microsoft 365.
1
Wspólny wniosek dla obrony jest prosty: sesje i tokeny trzeba chronić, wykrywać ich nadużycie oraz obsługiwać incydenty z taką samą powagą jak kradzież haseł.
Co wykrywać w Entra ID i Microsoft 365
Największą wartość daje korelacja sygnałów, a nie pojedynczy alert.
1. Szukaj odtworzenia sesji
Analizuj logowania, w których to samo konto lub ta sama sesja pojawia się w krótkim czasie z wyraźnie różnych adresów IP, sieci, lokalizacji geograficznych, przeglądarek lub właściwości urządzeń — zwłaszcza bezpośrednio po pomyślnym MFA. Microsoft wskazuje mechanizmy wykrywania anormalnego użycia tokenów i nietypowych właściwości logowania powiązanych z cookies sesyjnymi. 38
2. Badaj podejrzane użycie device code
Przeglądaj udane uwierzytelnienia typu device code i oceniaj, czy klient, źródłowy adres IP, żądany zasób oraz zachowanie użytkownika są uzasadnione. W logach logowania Entra zdarzenia te można identyfikować m.in. przez pola authenticationProtocol: deviceCode oraz originalTransferMethod: deviceCodeFlow. 26
3. Monitoruj zmiany zapewniające trwały dostęp
Nadaj wysoki priorytet zdarzeniom audytowym Entra dotyczącym:
- nowych rejestracji i dołączeń urządzeń, zmian właścicieli lub nietypowych identyfikatorów urządzeń;
- dodania metod Windows Hello for Business, FIDO2/passkey, MFA albo metod odzyskiwania konta;
- zgód aplikacji, zmian aplikacji korporacyjnych, jednostek usługi (service principals) i przypisań ról uprzywilejowanych;
- zmian w Conditional Access, nazwanych lokalizacjach, federacji, przekazywaniu poczty i regułach skrzynki.
Nieautoryzowana rejestracja urządzenia niedługo po podejrzanym uwierzytelnieniu powinna być traktowana jako sygnał wysokiego ryzyka utrwalenia dostępu do tożsamości. 26
28
4. Łącz dane z poczty i systemu tożsamości
Pojedyncza wiadomość stylizowana na DocuSign może być zwykłym spamem, a pojedyncze nowe urządzenie w Entra może być prawidłowe. Znacznie silniejszym sygnałem jest zestawienie podejrzanej wiadomości, śladów łańcucha przekierowań, udanego MFA, anormalnego ponownego użycia sesji oraz zmiany urządzenia albo metody uwierzytelniania.
Reakcja na incydent: ograniczaj kompromitację tożsamości, nie tylko hasła
W przypadku podejrzenia kradzieży tokenów przez AiTM lub device code należy uruchomić procedurę ograniczania incydentu tożsamościowego.
- W razie potrzeby zablokuj lub wyłącz tożsamość objętą incydentem. Podczas ustalania zakresu wyłącz konta dotkniętych użytkowników i urządzeń.
40
- Unieważnij bieżące sesje i tokeny odświeżania. Skorzystaj z procedury odwołania sesji logowania Entra, a następnie wymuś ponowne uwierzytelnienie. Microsoft zaleca w reakcji na phishing device code odwołanie tokenów odświeżania przez
revokeSignInSessions.27
- Zresetuj poświadczenia, ale na tym nie kończ. Reset hasła jest dodatkowym elementem ograniczania incydentu, nie dowodem usunięcia dostępu atakującego.
- Usuń trwały dostęp. Zidentyfikuj i usuń nieautoryzowane urządzenia Entra; sprawdź ich własność; usuń niedawno dodane poświadczenia Windows Hello for Business, FIDO2, MFA, odzyskiwania konta i aplikacji; przeanalizuj udzielone zgody aplikacji.
6
- Przeszukaj cały tenant. Szukaj pasujących adresów przynęt, infrastruktury przekierowań, podejrzanych IP, zdarzeń device code, anomalii logowania po MFA i nowych rejestracji urządzeń u wszystkich użytkowników.
- Oceń skutki biznesowe. Przejrzyj aktywność w Exchange, SharePoint, OneDrive, Teams, Microsoft Graph, OAuth i logach administracyjnych pod kątem dostępu do danych, reguł skrzynek, przekazywania poczty, udostępnień zewnętrznych, nadużyć zgód, zmian uprawnień oraz dostępu do aplikacji połączonych przez SSO.
- Zabezpiecz materiał dowodowy przed czyszczeniem. Zachowaj wiadomości phishingowe wraz z nagłówkami, ślady poczty, łańcuchy przekierowań, logi logowania i audytu Entra, rekordy urządzeń, dane o zgodach OAuth oraz telemetrię przeglądarek i punktów końcowych.
Jak ograniczyć ryzyko przed kolejną przynętą
Uwierzytelnianie odporne na phishing jest ważnym zabezpieczeniem dla użytkowników wysokiego ryzyka, ale powinno być elementem obrony warstwowej. Microsoft rekomenduje m.in. klucze bezpieczeństwa FIDO2, Windows Hello for Business i uwierzytelnianie oparte na certyfikatach, a także mechanizmy skracające użyteczny czas życia sesji na urządzeniach niezarządzanych. 39
Organizacje powinny również ocenić, czy przepływ device code jest im potrzebny, ograniczyć nieautoryzowaną rejestrację urządzeń, stosować Conditional Access oparty na zgodności urządzeń i ryzyku oraz zapewnić zespołom operacyjnym możliwość szybkiego odwołania sesji i analizy zmian obiektów tożsamości.
Najważniejsza lekcja z Knight Office nie brzmi: „MFA zawiodło”. Pomyślne MFA może być początkiem kompromitacji, jeśli atakujący przejmie sesję utworzoną tuż po nim. Reakcję można uznać za zakończoną dopiero po sprawdzeniu i zabezpieczeniu sesji, urządzeń, metod uwierzytelniania oraz delegowanego dostępu w całym tenancie.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Knight Office: po MFA atakujący kradną sesję Microsoft 365 i budują trwały dostęp"?
Knight Office wykorzystuje phishing typu AiTM do przechwycenia materiału sesyjnego Microsoft 365 po tym, gdy ofiara pomyślnie ukończy MFA, a następnie może odtworzyć tę uwierzytelnioną sesję.
What are the key points to validate first?
Knight Office wykorzystuje phishing typu AiTM do przechwycenia materiału sesyjnego Microsoft 365 po tym, gdy ofiara pomyślnie ukończy MFA, a następnie może odtworzyć tę uwierzytelnioną sesję. Huntress opisał przynętę stylizowaną na DocuSign, przekierowania przez usługę śledzącą Monday.com i przejętą witrynę Joomla oraz późniejszą rejestrację nieautoryzowanego hosta w Microsoft Entra ID.
What should I do next in practice?
W odpowiedzi nie wystarczy zmienić hasło: trzeba unieważnić sesje i tokeny, sprawdzić urządzenia oraz metody uwierzytelniania, usunąć mechanizmy trwałego dostępu i przeprowadzić przeszukiwanie całego tenantu.