Knight Office visar varför stulna Microsoft 365-sessioner är en identitetsincident

MFA skyddar inte automatiskt den session som skapas efter en lyckad inloggning. Knight Office är ett tydligt exempel: i den incident som Huntress dokumenterade fångade en angripare Microsoft 365-sessionmaterial via adversary-in-the-middle-nätfiske (AiTM), följt av otillåten enhetsregistrering i Microsoft Entra ID. Det här ska därför hanteras som en identitetskompromettering, inte som en isolerad lösenordsstöld. 640

Så fungerade angreppskedjan

Det observerade angreppet började med ett DocuSign-liknande nätfiskemejl. Länken passerade en spårningstjänst från Monday.com och ledde sedan via en komprometterad Joomla-webbplats. Syftet var att dölja den slutliga nätfiskesidan för ryktesbaserade kontroller och enklare granskning av e-postlänkar. 6

I en AiTM-attack fungerar angriparens infrastruktur som en omvänd proxy mellan offret och Microsofts verkliga inloggningstjänst:

1. Offret anger sina uppgifter och genomför den vanliga MFA-kontrollen.
2. Proxyn vidarebefordrar interaktionen till Microsoft i realtid.
3. När inloggningen lyckas fångar angriparen sessionskakan eller annat tokenmaterial som skickas tillbaka till webbläsaren.
4. Angriparen återspelar sedan det autentiserade sessionstillståndet från sin egen infrastruktur och får åtkomst till kontot.

Det innebär inte att MFA-kryptografin har brutits. Angriparen stjäl i stället det auktoriseringstillstånd som uppstår när MFA redan har godkänts. Microsoft definierar tokenstöld som kompromettering och återspelning av token som utfärdats till en användare som kan ha uppfyllt kraven för flerfaktorsautentisering. 40

Därför räcker inte ett lösenordsbyte

En stulen webbsession eller åtkomst som bygger på en uppdateringstoken kan låta en inkräktare fortsätta arbeta utan ny lösenords- eller MFA-fråga tills relevanta token återkallas. Microsofts vägledning för tokenstöld rekommenderar uttryckligen att berörda användare eller enheter blockeras och att aktuella token återkallas. 40

I Knight Office-fallet ingick enligt rapporten dessutom registrering av en obehörig värd i Microsoft Entra ID och konfigurering av angriparkontrollerade Windows Hello for Business-autentiseringsuppgifter. 6 Det kan skapa en separat autentiseringsväg. Därför måste incidentteamet, även efter återkallad webbsession eller lösenordsbyte, kontrollera att ingen obehörig enhet eller ny autentiseringsmetod finns kvar.

Samma typ av persistens har dokumenterats vid nätfiske med enhetskod. Microsoft har beskrivit hur en uppdateringstoken från ett missbrukat enhetskodsflöde kan användas för att begära åtkomst till enhetsregistrering och registrera en angriparkontrollerad enhet i Entra ID. 28

Enhetskods-nätfiske är närbesläktat, men inte samma sak

AiTM-nätfiske proxar en aktiv inloggning och stjäl sessionen som skapas. Nätfiske med enhetskod missbrukar i stället ett legitimt OAuth-flöde för enhetsauktorisering: angriparen initierar en begäran om enhetskod, får offret att ange koden och logga in, och kan få token för sin egen klient om offret godkänner flödet. 22

Båda metoderna flyttar angriparens fokus från lösenord till användbara auktoriseringsartefakter. Detektionsarbetet behöver därför omfatta båda angreppsvägarna. Elastic lyfter särskilt fram lyckade, interaktiva Entra-inloggningar med enhetskodsprotokollet, klienten Microsoft Authentication Broker och begäran om Microsofts egna resurser som Exchange Online, Microsoft Graph eller SharePoint. 17

Knight Office i den bredare PhaaS-trenden

Huntress fastställde en faktisk Knight Office-intrångskedja med dokumenttema, omdirigeringar i flera steg, insamling av sessionstoken och otillåten Entra-enhetsregistrering. Huntress kopplade också upprepad tokenåterspelning i sin telemetri till en IP-adress, men den observationen ska inte tolkas som ett globalt antal drabbade offer. 6

Knight Office passar in i en växande marknad för phishing-as-a-service-kit (PhaaS) som riktar in sig på Microsoft 365-identitetssessioner:

• Mirage2FA använder AiTM-infrastruktur för att fånga autentiserade sessioner och inloggningsuppgifter. ANY.RUN rapporterade 9 332 potentiella komprometteringshändelser mellan 2024 och 2026, varav 4 561 gällde stulna kakor. Det är telemetribaserade potentiella händelser – inte ett bekräftat antal offer. 4
• Kali365, som först observerades i april 2026 och främst distribuerats via Telegram, var föremål för en FBI-varning på grund av förmågan att komma över Microsoft 365 OAuth-åtkomsttoken och uppdateringstoken. 1

Den gemensamma lärdomen är enkel: skydda, upptäck och hantera missbruk av sessioner och token lika noggrant som lösenordskompromettering.

Vad säkerhetsteam bör leta efter i Entra ID och Microsoft 365

En enskild varning är sällan tillräcklig. Det är korrelationen mellan flera signaler som gör ett fynd handlingsbart.

1. Misstänkt återspelning av sessioner

Utred inloggningar där samma konto eller session på kort tid förekommer från tydligt olika IP-adresser, nätverk, geografiska platser, webbläsare eller enhetsegenskaper – särskilt direkt efter lyckad MFA. Microsoft beskriver upptäckter för avvikande tokenanvändning och obekanta inloggningsegenskaper kopplade till sessionskakor. 38

2. Ovanlig aktivitet med enhetskod

Granska lyckade enhetskodsautentiseringar och bedöm om klient, käll-IP, begärd resurs och användarens beteende är rimliga. I Entras inloggningsloggar kan flödet bland annat identifieras genom fälten authenticationProtocol: deviceCode och originalTransferMethod: deviceCodeFlow. 26

3. Förändringar som kan ge persistens

Prioritera granskningshändelser som rör:

• nya enhetsregistreringar, anslutningar, ägarbyten eller ovanliga enhetsidentifierare,
• nytillagda metoder för Windows Hello for Business, FIDO2/passkeys, MFA eller återställning,
• samtycken till program, ändringar av företagsprogram, tjänsthuvudnamn eller privilegierade rolltilldelningar,
• ändringar av villkorsstyrd åtkomst, namngivna platser, federation, vidarebefordran av e-post eller inkorgsregler.

En obehörig enhetsregistrering strax efter en misstänkt autentisering bör behandlas som en högprioriterad signal om identitetsbaserad persistens. 2628

4. Koppla ihop e-post- och identitetsbevis

Ett DocuSign-liknande mejl kan vara skräppost och en ny Entra-enhet kan vara legitim. Kombinationen av ett misstänkt mejl, spår av en omdirigeringskedja, lyckad MFA, avvikande återanvändning av session samt ändring av enhet eller autentiseringsmetod är betydligt mer relevant för incidenthantering.

Incidenthantering: begränsa identiteten, inte bara lösenordet

Vid misstänkt AiTM- eller enhetskodsrelaterad tokenstöld bör organisationen använda ett arbetsflöde för identitetsbegränsning:

1. Blockera eller inaktivera den berörda identiteten vid behov. Inaktivera berörda användar- och enhetskonton medan omfattningen fastställs. 40
2. Återkalla aktuella sessioner och uppdateringstoken. Använd Entras funktion för att återkalla inloggningssessioner och tvinga fram ny autentisering. Microsoft rekommenderar specifikt revokeSignInSessions vid respons på nätfiske med enhetskod. 27
3. Återställ lösenord, men stanna inte där. Lösenordsbyte är en kompletterande åtgärd – inte ett bevis på att angriparens åtkomst är borta. 4042
4. Ta bort persistens. Identifiera och ta bort obehöriga Entra-enheter, kontrollera enhetsägarskap, ta bort nyligen tillagda metoder för Windows Hello for Business, FIDO2, MFA, återställning och programautentisering samt granska samtycken. 628
5. Sök i hela klientorganisationen. Leta efter samma lockbetes-URL:er, omdirigeringsinfrastruktur, misstänkta käll-IP-adresser, enhetskodshändelser, avvikelser efter MFA och nya enhetsregistreringar hos samtliga användare.
6. Bedöm verksamhetseffekten. Granska aktivitet i Exchange, SharePoint, OneDrive, Teams, Microsoft Graph, OAuth och administrationsloggar för dataåtkomst, inkorgsregler, vidarebefordran, extern delning, samtyckesmissbruk, behörighetsändringar och åtkomst till SSO-anslutna program.
7. Säkra bevis före sanering. Behåll nätfiskemejl och e-posthuvuden, meddelandespårning, omdirigeringskedjor, Entra-inloggnings- och granskningsloggar, enhetsposter, OAuth-samtycken och telemetri från webbläsare eller ändpunkter.

Minska risken före nästa lockbete

Nätfiskeresistent autentisering är en viktig skyddsåtgärd för användare med hög risk, men den bör ingå i ett skiktat skyddsarbete. Microsoft rekommenderar metoder som FIDO2-säkerhetsnycklar, Windows Hello for Business och certifikatbaserad autentisering, tillsammans med kontroller som minskar den användbara livslängden för sessioner på ohanterade enheter. 39

Organisationer bör också bedöma om enhetskodsflödet verkligen behövs, begränsa obehörig enhetsregistrering, tillämpa villkorsstyrd åtkomst utifrån kompatibla enheter och risk samt säkerställa att driftteamet snabbt kan återkalla sessioner och utreda ändringar i identitetsobjekt.

Den centrala lärdomen från Knight Office är inte att MFA har misslyckats. Det är att en godkänd MFA-händelse kan vara början på komprometteringen när angriparen stjäl sessionen som följer. Incidenten är först hanterad när klientorganisationens sessioner, enheter, autentiseringsmetoder och delegerade åtkomster har kontrollerats och begränsats.