Ловушка для закупщиков: новая кампания перехвата сессий Microsoft 365 обходит многофакторную аутентификацию

Ключевые характеристики кампании:

• Вектор атаки: Злоумышленники взламывают легитимные сайты малого бизнеса и учётные записи Outlook, чтобы размещать и распространять фишинговые ссылки, используя доверенную инфраструктуру .
• Цели: Кампания нацелена на университеты, крупные предприятия и международные организации, включая структуры Европейского Союза и Организации Объединённых Наций .
• Несколько наборов AiTM: Злоумышленники поочерёдно используют разные наборы PhaaS:
  • EvilProxy – набор для перехвата сессионных cookie, позволяющий обходить SMS-коды, push-уведомления аутентификаторов и TOTP-токены .
  • FlowerStorm – широко распространённый сервис PhaaS, который недавно начал использовать обфускацию на основе виртуальной машины в браузере для обхода почтовых защит .
  • Kali365 – платформа PhaaS, впервые замеченная в апреле 2026 года и распространяемая через Telegram. Она использует фишинг кода устройства (device code phishing) для захвата токенов доступа без необходимости ввода пароля или кода MFA .
• Массовая регистрация доменов по алгоритму (RDGA): Злоумышленники создают множество фишинговых URL, которые быстро меняются, что затрудняет их блокировку по спискам .

Как работает атака (технический механизм)

Атакующий настраивает промежуточный фишинговый сайт, который действует как живой обратный прокси-сервер между жертвой и легитимными серверами аутентификации Microsoft 365 . Когда жертва вводит свои учётные данные и завершает MFA (например, подтверждает вход через приложение-аутентификатор), прокси-сервер перехватывает результирующий сессионный cookie до того, как он попадёт в браузер жертвы . Затем атакующий импортирует этот cookie в свой собственный браузер и получает полный доступ к Exchange Online, SharePoint, OneDrive и любым федеративным приложениям жертвы .

Многочисленные источники описывают один и тот же механизм: традиционный фишинг просто клонирует страницы входа и собирает пароли, а AiTM создаёт двунаправленную связь в реальном времени . Поскольку сессионный токен подтверждает, что пользователь уже прошёл MFA, атакующему не нужно взламывать саму MFA .

Почему стандартной MFA недостаточно

В документации Microsoft прямо указано, что фишинг типа AiTM позволяет обойти распространённые методы MFA, такие как SMS-коды, push-уведомления аутентификаторов и TOTP-токены . Сессионный cookie, выдаваемый после завершения MFA, и является главной целью: если его украдут, его можно воспроизвести с любого устройства из любой точки мира до тех пор, пока токен не истечёт или не будет административно отозван.

В отчёте Infoblox подчёркивается, что традиционная MFA недостаточна, так как AiTM-прокси воруют токен, выданный после завершения MFA . Проблема архитектурная: прокси-сервер располагается между пользователем и настоящим сервером аутентификации, и классическая MFA не может этого обнаружить.

Защита: что рекомендуют Infoblox, Microsoft и ФБР?

Infoblox рекомендует многоуровневую стратегию защиты, в которой MFA не является единственной точкой отказа. Основные рекомендации:

1. Защита на уровне DNS: Блокировать известные вредоносные домены и недавно зарегистрированные домены (RDGA) на уровне DNS, чтобы нарушить инфраструктуру фишинга до того, как пользователи смогут к ней обратиться .
2. Устойчивые к фишингу учётные данные: Внедрить аппаратные ключи безопасности FIDO2/WebAuthn или Windows Hello для бизнеса. Они используют криптографию с открытым ключом, привязанную к конкретному домену. AiTM-прокси не может переслать такой вызов, так как криптографическое подтверждение привязано к домену легитимного сайта, а не к прокси.
3. Политики условного доступа: Настроить строгие политики риска входа в Microsoft Entra ID: требовать привязку токенов, блокировать входы с необычных мест или устройств, сократить время жизни сессий, чтобы уменьшить окно для перехвата cookie .
4. Мониторинг бренда и управление поверхностью атаки: Активно выявлять фишинговые домены, которые выдают себя за организацию, и добиваться их блокировки до того, как пользователи столкнутся с приманками .
5. Повышение осведомлённости и обучение: Научить пользователей распознавать фишинговые письма с темами закупок и сообщать о них, чтобы ускорить реакцию SOC .

ФБР в своём предупреждении о Kali365 советует организациям провести аудит методов MFA, проверить журналы входа на предмет подозрительных потоков device code и рассмотреть возможность блокировки аутентификации по коду устройства для всех пользователей, кроме доверенных приложений .

Ограничения и контекст

• Отчёт Infoblox является основным источником информации о названии кампании, её нацеленности на учреждения ЕС и ООН, а также об использовании взломанных Outlook-ящиков и сайтов малого бизнеса.
• Компонент Kali365 независимо подтверждён предупреждением ФБР и отчётами компаний Huntress и Paubox , однако в отчёте Infoblox он сгруппирован с EvilProxy и FlowerStorm в рамках одной инфраструктуры.
• Перечисленные защитные меры сочетают в себе рекомендации из отчёта Infoblox с общепризнанными отраслевыми практиками, документально подтверждёнными в других источниках . В исходных материалах нет одного абзаца, который бы перечислял все пункты списком; приведённый выше список представляет собой синтез рекомендаций из цитируемых источников.

Суть

«Ловушка для закупщиков» иллюстрирует растущий тренд: злоумышленники не пытаются взломать MFA — они её полностью обходят, воруя сессионные cookie, выдаваемые после успешной аутентификации. Технические контрмеры, такие как аппаратные ключи FIDO2 и блокировка доменов на уровне DNS, могут значительно снизить риски, но первая линия обороны — это бдительность пользователей. Организациям, использующим Microsoft 365, настоятельно рекомендуется проверить журналы аутентификации на предмет необычных запросов device code или паттернов AiTM и в приоритетном порядке внедрить устойчивые к фишингу методы аутентификации.