ระวัง 'กับดักจัดซื้อจัดจ้าง': วิธีที่แฮกเกอร์ขโมยเซสชัน Microsoft 365 แม้คุณใช้ MFA

กลไกการโจมตีทางเทคนิค

ผู้โจมตีจะตั้งค่าเว็บไซต์ฟิชชิ่งที่ทำหน้าที่เป็น พร็อกซีย้อนกลับ (Reverse Proxy) แบบสดๆ เชื่อมต่อระหว่างเหยื่อกับบริการยืนยันตัวตนที่แท้จริงของ Microsoft 365

1. เมื่อเหยื่อกรอกรหัสผ่านและผ่านขั้นตอน MFA (เช่น OTP หรือ Push Notification) ข้อมูลเหล่านี้จะถูกส่งผ่านพร็อกซีก่อน
2. พร็อกซีจะส่งต่อข้อมูลไปยังเซิร์ฟเวอร์จริงของ Microsoft และรับ คุกกี้เซสชัน (Session Cookie) ที่ยืนยันว่าเหยื่อผ่านการยืนยันตัวตนแล้วกลับมา
3. พร็อกซีจะ ขโมยคุกกี้นั้นก่อนที่จะส่งถึงเบราว์เซอร์ของเหยื่อ
4. ผู้โจมตีนำคุกกี้เซสชันนี้ไปใส่ในเบราว์เซอร์ของตน และสามารถเข้าถึง Exchange Online, SharePoint, OneDrive และแอปพลิเคชันอื่นๆ ที่เชื่อมต่อได้ทันที

เนื่องจากโทเค็นเซสชันที่ถูกขโมยไปนั้นเป็นหลักฐานว่าผู้ใช้ ผ่าน MFA มาแล้ว ผู้โจมตีจึงไม่ต้องพยายาม破解 MFA เลย

ทำไม MFA มาตรฐานถึงไม่พอ?

ไมโครซอฟท์เองก็เคยออกมาเตือนว่า AiTM Phishing สามารถเอาชนะวิธี MFA ทั่วไป เช่น รหัสทาง SMS, Push Notification จากแอปยืนยันตัวตน และรหัส TOTP ได้

ปัญหาคือตัวคุกกี้เซสชันที่ออกให้ หลังจาก ยืนยันตัวตนผ่าน MFA สำเร็จนั้น เป็นรางวัลที่ผู้โจมตีต้องการ เมื่อขโมยได้แล้ว พวกเขาสามารถเล่นคุกกี้นี้ซ้ำจากอุปกรณ์หรือที่ไหนก็ได้ จนกว่าคุกกี้จะหมดอายุหรือถูกเพิกถอนโดยผู้ดูแลระบบ

รายงานของ Infoblox เน้นย้ำว่า MFA แบบดั้งเดิมนั้นไม่เพียงพอเพราะพร็อกซี AiTM ขโมยโทเค็นเซสชันที่ออกให้ หลังจาก MFA เสร็จสิ้นแล้ว

วิธีป้องกันนอกเหนือจาก MFA ที่ Infoblox แนะนำ

Infoblox เสนอการป้องกันแบบหลายชั้น (Layered Defense) โดยไม่พึ่งพา MFA เป็นจุดอ่อนจุดเดียว คำแนะนำหลักมีดังนี้:

1. ความปลอดภัยระดับ DNS (DNS-layer security): บล็อกโดเมนอันตรายที่รู้จักและโดเมนอัลกอริทึมที่จดทะเบียนใหม่ (RDGAs) ที่ระดับ DNS ก่อนที่ผู้ใช้จะเข้าถึง
2. ข้อมูลประจำตัวที่ต้านทานฟิชชิ่ง (Phishing-resistant credentials): ใช้คีย์ความปลอดภัยฮาร์ดแวร์แบบ FIDO2/WebAuthn หรือ Windows Hello for Business เทคโนโลยีนี้ใช้การเข้ารหัสคู่กุญแจสาธารณะที่ผูกกับโดเมนเว็บไซต์ที่แท้จริง พร็อกซี AiTM ไม่สามารถส่งต่อความท้าทาย (Challenge) ของ FIDO2 ได้เพราะการยืนยันทางเข้ารหัสผูกติดกับโดเมนของเว็บไซต์จริงเท่านั้น
3. นโยบายการเข้าใช้แบบมีเงื่อนไข (Conditional Access): กำหนดนโยบายใน Microsoft Entra ID เช่น บังคับให้ใช้ Token Binding, บล็อกการเข้าสู่ระบบจากสถานที่หรืออุปกรณ์ที่ไม่ปกติ และลดอายุของเซสชันให้สั้นลงเพื่อลดโอกาสที่คุกกี้จะถูกขโมย
4. การจัดการความเสี่ยงและติดตามแบรนด์ (Exposure management & brand monitoring): ตรวจจับโดเมนฟิชชิ่งที่แอบอ้างเป็นองค์กร และรื้อถอนโครงสร้างพื้นฐานก่อนที่ผู้ใช้จะเจอ
5. การฝึกอบรมพนักงานและระบบรายงานภัยคุกคาม: สอนให้ผู้ใช้สังเกตอีเมลหลอกลวงที่เกี่ยวกับการจัดซื้อจัดจ้าง และรายงานอีเมลที่น่าสงสัยเพื่อให้ SOC (Security Operations Center) ดำเนินการได้เร็วขึ้น

นอกจากนี้ FBI ยังได้ออกคำเตือนเฉพาะเกี่ยวกับ Kali365 โดยแนะนำให้องค์กร ตรวจสอบวิธีการ MFA ของตน ทบทวนบันทึกการเข้าสู่ระบบเพื่อหา Device Code Flow ที่ผิดปกติ และพิจารณาปิดกั้นการยืนยันตัวตนแบบ Device Code สำหรับผู้ใช้ทั้งหมด ยกเว้นแต่แอปพลิเคชันที่เชื่อถือได้

ข้อจำกัดและขอบเขตของหลักฐาน

รายงานของ Infoblox เป็นแหล่งข้อมูลหลักสำหรับชื่อแคมเปญ เป้าหมายที่ EU/UN และการใช้บัญชี Outlook และเว็บไซต์ธุรกิจขนาดเล็กที่ถูกแฮก ส่วน Kali365 ได้รับการยืนยันแยกต่างหากจาก FBI PSA และบริษัทรักษาความปลอดภัยอื่นๆ

สรุป

"The Procurement Trap" คือตัวอย่างที่ชัดเจนของแนวโน้มที่เพิ่มขึ้น: ผู้โจมตีไม่ได้พยายามเจาะ MFA แต่พวกเขา เลี่ยง MFA ไปเลย ด้วยการขโมยคุกกี้เซสชันที่ออกให้หลังจากยืนยันตัวตนสำเร็จแล้ว

มาตรการทางเทคนิค เช่น คีย์ FIDO2 และการบล็อกโดเมนระดับ DNS สามารถลดความเสี่ยงได้อย่างมาก แต่แนวป้องกันแรกสุดยังคงเป็นความตระหนักรู้ของผู้ใช้ องค์กรที่ใช้ Microsoft 365 ควรรีบตรวจสอบบันทึกการรับรองความถูกต้องเพื่อหารูปแบบ Device Code หรือ AiTM ที่ผิดปกติ และจัดลำดับความสำคัญในการใช้ข้อมูลประจำตัวที่ต้านทานฟิชชิ่ง