Охота на сессии: как хакеры научились обходить MFA в Microsoft 365 с помощью Forg365, Jalisco и OmegaLord

• AI-генерация приманок: Панель управления использует генеративный ИИ для автоматического составления, улучшения и локализации фишинговых писем под конкретные отрасли и бизнес-сценарии, что резко снижает порог входа для злоумышленников ^TR.
• Двойной обход MFA: Forg365 одновременно реализует проксирование типа "злоумышленник-посередине" (AiTM) (ретрансляция реальных сессий входа через инфраструктуру атакующего) и фишинг через код устройства (OAuth device-code) (жертву обманом заставляют ввести код злоумышленника на странице microsoft.com/devicelogin, что авторизует клиент атакующего) ^SC.
• Обход антибот-систем и операции после захвата: Платформа включает средства для обхода антибот-защиты и автоматизации действий в скомпрометированном почтовом ящике ^C.

2. Расширение ForgCookie — Постоянный доступ

Расширение-компаньон для браузера, ForgCookie, совместимо с Chrome, Edge и Brave ^C. После кражи сессионных токенов или куки жертвы ForgCookie автоматически обновляет украденные сессионные куки, позволяя атакующему сохранять доступ к сервисам Microsoft 365 (Outlook, Teams, OneDrive, SharePoint) без повторной аутентификации — даже после того, как жертва сменит пароль ^IC. Это превращает одноразовую кражу токена в постоянную, долгосрочную компрометацию.

3. Jalisco — Инструмент для фишинга через код устройства

Обнаруженный ReliaQuest и BleepingComputer 14 июля 2026 года, Jalisco — это набор для фишинга через код устройства, активно используемый против учетных записей Microsoft 365 ^RS. Он работает следующим образом:

• Рассылает письма, в которых жертву просят ввести код устройства на легитимной странице входа Microsoft.
• Этот код принадлежит OAuth-приложению, контролируемому злоумышленником.
• Жертва проходит настоящую MFA на серверах Microsoft — но в результате OAuth-токены выпускаются для опрашивающего клиента злоумышленника, а не для жертвы ^RS.

Это означает, что MFA не "взламывается" — она превращается в оружие против самой жертвы.

4. OmegaLord — Харвестер через поддельный PDF-ридер

OmegaLord, также впервые описанный 14 июля 2026 года, использует другой подход: он маскируется под поддельную страницу PDF-ридера в браузере ^RS. Когда жертва попадает на страницу:

• Ей предлагают "войти, чтобы просмотреть защищенный документ".
• Форма входа перехватывает учетные данные и связанные с ними одноразовые пароли (OTP) в реальном времени.
• Злоумышленники используют украденные учетные данные + OTP для немедленной аутентификации, пока OTP не истек ^RS.

5. Широкий всплеск спуфинга OAuth и фишинга через коды устройств

Множество источников подтверждают общую тенденцию в индустрии:

• Microsoft задокументировала в марте 2026 года атаки с использованием перенаправлений OAuth против правительственных и государственных организаций, используя "тихие" потоки OAuth и недействительные области действия ^M.
• Наборы для фишинга через код устройства, такие как Kali365, EvilTokens, Ghost Hub, Cyb3r и Tycoon2FA, активно наблюдались в атаках на Microsoft 365 в 2026 году, причем май стал пиковым месяцем ^SB.
• ФБР выпустило публичное предупреждение (PSA I-052126) в мае 2026 года, специально предупреждая о Kali365 — PhaaS-платформе, которая захватывает учетные записи M365 без паролей, злоупотребляя потоком авторизации OAuth для устройств ^I.

Как на самом деле работает обход MFA

Ключевой вывод, объединяющий все эти угрозы: MFA не побеждена технически — она используется в своих интересах:

Вот почему традиционной MFA больше недостаточно для защиты ^TWS.

Рекомендации по безопасности от исследователей

Основываясь на многочисленных консультациях, настоятельно рекомендуется следующее:

• Отключите потоки OAuth с кодом устройства для вашего тенанта, если ваша организация их не использует (например, через политики условного доступа для блокировки аутентификации devicecode).
• Внедрите политики условного доступа (Conditional Access), требующие соответствия устройств, доверенных местоположений и проверки рисков сессии, а не только MFA.
• Отслеживайте аномальные разрешения OAuth-приложений — особенно приложения, запрашивающие offline_access, Mail.Read или Files.ReadWrite.All.
• Заблокируйте устаревшие методы аутентификации и требуйте современную аутентификацию с привязкой токенов, где это возможно.
• Используйте защиту токенов / привязку токенов (функции "защиты от кражи токенов" от Microsoft) для привязки токенов к конкретным устройствам.
• Разверните устойчивую к фишингу MFA (ключи безопасности FIDO2 или Windows Hello для бизнеса), которую невозможно подменить через прокси.
• Обучайте пользователей распознавать фишинговые приманки с кодами устройств, которые просят их "ввести этот код для подтверждения учетной записи" на легитимных URL-адресах Microsoft.
• Анализируйте журналы входа на предмет аутентификации с неожиданных IP-адресов, необычных пользовательских агентов и входов через код устройства с некорпоративных устройств.

Эти рекомендации основаны на предупреждении ФБР ^I, блоге безопасности Microsoft ^M, BleepingComputer ^RC и анализе угроз ReliaQuest ^S.

Заключение

Волна фишинговых атак на Microsoft 365 в 2026 году — в первую очередь с использованием Forg365 (и его расширения ForgCookie для постоянного доступа), Jalisco, OmegaLord и более широкой экосистемы наборов для кражи кодов устройств и AiTM — представляет собой смену парадигмы. Злоумышленникам больше не нужно воровать пароли или взламывать MFA. Вместо этого они злоупотребляют моделью доверия OAuth, заставляя саму жертву своей аутентификацией авторизовать сессию, контролируемую атакующим. Консенсус сообщества специалистов по безопасности заключается в необходимости модели нулевого доверия: отключение неиспользуемых потоков аутентификации, внедрение условного доступа, мониторинг выдачи токенов и переход на устойчивую к фишингу MFA ^ICSC.