Knight Office: почему украденная сессия Microsoft 365 — это инцидент с идентичностью

Knight Office наглядно показывает ограничение MFA: многофакторная проверка подтверждает конкретный вход, но сама по себе не защищает каждую сессию, созданную после него. В расследованном Huntress инциденте атака типа adversary-in-the-middle (AiTM, «посредник между жертвой и сервисом») привела к захвату сессионных данных Microsoft 365, а затем — к несанкционированной регистрации устройства в Microsoft Entra ID. Операционно такой случай следует считать компрометацией идентичности, а не единичной кражей пароля. 640

Как устроена цепочка атаки Knight Office

Атака началась с фишингового письма, стилизованного под DocuSign. Ссылка проходила через сервис отслеживания Monday.com и далее вела на скомпрометированный сайт Joomla. Такая цепочка скрывала конечную фишинговую страницу от репутационных проверок и от базового анализа ссылок в письме. 6

На следующем этапе убедительная страница, имитирующая рабочий процесс Microsoft для совместной работы или входа, побуждает пользователя продолжить аутентификацию, в том числе через сценарий, похожий на ввод кода устройства. Цель злоумышленников — добиться, чтобы человек сам одобрил вход, считая его легитимным.

AiTM-компонент работает как обратный прокси между жертвой и настоящей службой входа Microsoft:

1. Пользователь вводит учётные данные и проходит обычную проверку MFA.
2. Прокси в реальном времени передаёт эти действия Microsoft.
3. После успешной аутентификации атакующий получает cookie авторизованной сессии браузера либо иной токенный материал.
4. Затем он воспроизводит это авторизованное состояние со своей инфраструктуры и получает доступ к учётной записи.

Это не означает взлом криптографии MFA. Злоумышленник крадёт состояние авторизации, которое появилось после MFA. Microsoft определяет кражу токенов как компрометацию и повторное использование токенов, выданных пользователю, который уже мог пройти многофакторную аутентификацию. 40

Почему одного сброса пароля недостаточно

Украденная браузерная сессия или доступ, полученный через refresh token, может позволить атакующему продолжать работу без нового запроса пароля или MFA — до тех пор, пока соответствующие токены не будут отозваны. В рекомендациях Microsoft по реагированию на кражу токенов прямо указано блокировать затронутых пользователей или устройства и отзывать текущие токены. 40

В случае Knight Office риск выше: Huntress сообщила о регистрации несанкционированного хоста в Microsoft Entra ID и настройке контролируемых атакующим учётных данных Windows Hello for Business. 6 Это может создать отдельный путь аутентификации. Поэтому после отзыва исходной веб-сессии или смены пароля необходимо убедиться, что в среде не осталось чужого устройства или нового метода входа.

Похожий механизм закрепления исследователи наблюдали при фишинге с кодом устройства. Microsoft сообщала, что refresh token, полученный через злоупотребление таким потоком, можно использовать для доступа к службе регистрации устройств и добавления в Entra ID устройства, контролируемого атакующим. 28

Фишинг с кодом устройства — родственный, но не идентичный AiTM метод

AiTM-фишинг проксирует живой вход и похищает созданную сессию. Фишинг с кодом устройства злоупотребляет легитимным OAuth-потоком авторизации устройств: атакующий запускает запрос кода, убеждает жертву ввести этот код и пройти аутентификацию, после чего токены для контролируемого атакующим клиента выдаются при одобрении пользователем. 22

В обоих сценариях цель смещается от сбора пароля к получению пригодных для работы артефактов авторизации. Поэтому программы обнаружения должны покрывать оба пути. В правилах Elastic для выявления device-code phishing выделены успешные интерактивные входы Entra с протоколом device code, клиентом Microsoft Authentication Broker и запросами к собственным ресурсам Microsoft — например, Exchange Online, Microsoft Graph или SharePoint. 17

Наблюдаемая активность и рынок PhaaS

Расследование Huntress подтвердило реальную последовательность действий Knight Office: документная приманка, многоступенчатые редиректы, захват сессионного токена и несанкционированная регистрация устройства в Entra ID. Huntress также связала повторное использование токенов в своей телеметрии с одним IP-адресом, но это наблюдение нельзя трактовать как глобальное число пострадавших. 6

Knight Office вписывается в более широкий рынок наборов phishing-as-a-service (PhaaS), ориентированных на сессии идентичности Microsoft 365:

• Mirage2FA использует AiTM-инфраструктуру для захвата учётных данных и авторизованных сессий. ANY.RUN сообщила о 9 332 потенциальных событиях компрометации в 2024–2026 годах, включая 4 561 событие кражи cookie. Это телеметрические данные о потенциальных событиях, а не число подтверждённых жертв. 4
• Kali365, впервые замеченный в апреле 2026 года и распространявшийся главным образом через Telegram, стал предметом предупреждения ФБР из-за возможности получать OAuth access token и refresh token Microsoft 365. 1

Общий вывод для защиты прост: к злоупотреблению сессиями и токенами нужно относиться так же серьёзно, как к компрометации пароля.

Приоритеты обнаружения в Entra ID и Microsoft 365

Ключ к качественному выявлению — корреляция событий, а не одиночный алерт.

1. Ищите подозрительное повторное использование сессии

Проверяйте входы, где одна учётная запись или сессия за короткое время появляется с заметно различающихся IP-адресов, сетей, географических точек, браузеров или свойств устройства — особенно сразу после успешного MFA. Microsoft указывает на обнаружения аномального использования токенов и незнакомых свойств входа, связанных с session cookie. 38

2. Анализируйте подозрительную активность device code

Проверяйте успешные аутентификации с кодом устройства: соответствуют ли клиент, IP-адрес источника, запрошенный ресурс и поведение пользователя нормальной работе. В журналах входа Entra такую активность можно распознать по полям authenticationProtocol: deviceCode и originalTransferMethod: deviceCodeFlow. 26

3. Отслеживайте изменения, создающие закрепление

Приоритетными должны стать события аудита Entra, связанные с:

• новыми регистрациями и присоединениями устройств, сменой владельцев или необычными идентификаторами устройств;
• добавлением Windows Hello for Business, FIDO2/passkey, MFA или методов восстановления доступа;
• выдачей согласий приложениям, изменениями корпоративных приложений, service principal или назначением привилегированных ролей;
• изменениями Conditional Access, именованных расположений, федерации, пересылки почты и правил входящей почты.

Несанкционированная регистрация устройства вскоре после подозрительной аутентификации — сигнал возможного закрепления на уровне идентичности с высоким приоритетом. 2628

4. Сопоставляйте почтовые и идентификационные данные

Отдельно взятое письмо «от DocuSign» может оказаться обычным спамом, а новое устройство Entra — легитимным. Но сочетание подозрительного письма, цепочки редиректов, успешного MFA, аномального повторного использования сессии и изменения устройства или метода аутентификации значительно более значимо.

Реагирование: сдерживайте компрометацию идентичности, а не только меняйте пароль

При подозрении на кражу токена через AiTM или device-code phishing используйте процесс сдерживания на уровне идентичности.

1. При необходимости заблокируйте или отключите затронутую идентичность. Пока устанавливается масштаб инцидента, отключите скомпрометированные учётные записи пользователей и устройств. 40
2. Отзовите текущие сессии и refresh token. Выполните отзыв сессий входа Entra и принудите повторную аутентификацию. В рекомендациях Microsoft по реагированию на device-code phishing отдельно упоминается revokeSignInSessions. 27
3. Сбросьте пароль, но не останавливайтесь на этом. Смена пароля — дополнительная мера сдерживания, а не доказательство того, что доступ атакующего устранён. 4042
4. Удалите механизмы закрепления. Найдите и удалите несанкционированные устройства Entra; проверьте владельцев устройств; удалите недавно добавленные Windows Hello for Business, FIDO2, MFA, методы восстановления и учётные данные приложений; проанализируйте выданные согласия. 628
5. Проведите поиск по всему тенанту. Ищите у всех пользователей совпадающие URL приманок, редирект-инфраструктуру, подозрительные IP-адреса, события device code, аномалии входов после MFA и новые регистрации устройств.
6. Оцените бизнес-воздействие. Просмотрите аудит Exchange, SharePoint, OneDrive, Teams, Microsoft Graph, OAuth и административных действий: доступ к данным, правила почты, пересылку, внешнее предоставление доступа, злоупотребление consent, повышение привилегий и доступ к приложениям через SSO.
7. Сохраните доказательства до очистки. Удержите фишинговые письма и их заголовки, mail trace, цепочки редиректов, журналы входа и аудита Entra, данные об устройствах, записи OAuth-consent, а также браузерную и endpoint-телеметрию.

Как сократить риск до следующей приманки

Фишинг-устойчивая аутентификация особенно важна для пользователей с повышенными привилегиями, но должна быть частью многоуровневой защиты. Microsoft рекомендует такие методы, как ключи безопасности FIDO2, Windows Hello for Business и аутентификация на основе сертификатов, а также меры по сокращению времени жизни сессий на неуправляемых устройствах. 39

Организациям также стоит оценить, нужен ли им поток device code, ограничить несанкционированную регистрацию устройств, применять Conditional Access с учётом соответствия устройств требованиям и риска, а также заранее отработать быстрый отзыв сессий и проверку изменений объектов идентичности.

Главный урок Knight Office не в том, что MFA «сломана». Успешное MFA может стать началом компрометации, если атакующий похищает сессию, следующую за проверкой. Реагирование можно считать завершённым только после проверки и сдерживания сессий, устройств, методов аутентификации и делегированного доступа во всём тенанте.