Knight Office, Çalınan Microsoft 365 Oturumlarının Bir Kimlik Olayı Olduğunu Gösteriyor

Knight Office vakası, çok faktörlü kimlik doğrulamanın (MFA) bir oturum açmayı doğruladığını; ancak bu doğrulamadan sonra oluşan her oturumu kendiliğinden korumadığını gösteriyor. Huntress tarafından incelenen olayda, aradaki saldırgan (Adversary-in-the-Middle / AiTM) kimlik avı zinciri Microsoft 365 oturum materyalini ele geçirdi; bunu Microsoft Entra ID’ye yetkisiz cihaz kaydı izledi. Bu nedenle olay, tek başına parola hırsızlığı değil, bir kimlik güvenliği ihlali olarak ele alınmalı. 640

Saldırı zinciri nasıl işliyor?

İncelenen zincir, DocuSign görünümünde bir kimlik avı e-postasıyla başladı. Bağlantı önce Monday.com izleme hizmetinden, ardından ele geçirilmiş bir Joomla sitesinden geçirildi. Amaç, son kimlik avı adresini itibar kontrolleri ile e-posta bağlantısını yüzeysel inceleyen araçlardan saklamaktı. 6

Son aşamada kurbana ikna edici bir Microsoft iş birliği veya oturum açma akışı gösterilebiliyor; buna cihaz kodu benzeri bir doğrulama adımı da eşlik edebiliyor. Kurban, meşru olduğuna inandığı akışı onaylamaya yönlendiriliyor.

AiTM bileşeni, kurbanın tarayıcısı ile gerçek Microsoft oturum açma hizmeti arasında ters vekil (reverse proxy) gibi çalışır:

1. Kurban parolasını girer ve normal MFA isteğini tamamlar.
2. Saldırganın vekil sistemi bu işlemleri gerçek zamanlı olarak Microsoft’a iletir.
3. Doğrulama başarılı olunca tarayıcıya dönen doğrulanmış oturum çerezi veya diğer belirteç materyali saldırgan tarafından ele geçirilir.
4. Saldırgan bu doğrulanmış oturum durumunu kendi altyapısından yeniden kullanarak hesaba erişir.

Bu, MFA’nın kriptografisinin kırıldığı anlamına gelmez. Çalınan şey, MFA sonrasında oluşan yetkilendirme durumudur. Microsoft, belirteç hırsızlığını, kullanıcının MFA’yı tamamlamış olabileceği durumlarda kendisine verilmiş belirteçlerin ele geçirilmesi ve yeniden kullanılması olarak tanımlıyor. 40

Parola sıfırlamak neden saldırıyı bitirmeyebilir?

Çalınmış bir tarayıcı oturumu ya da yenileme belirtecinden türetilmiş erişim, ilgili belirteçler iptal edilene kadar saldırganın yeniden parola veya MFA istemiyle karşılaşmadan işlem yapmasına izin verebilir. Microsoft’un belirteç hırsızlığı rehberi, etkilenen kullanıcı ya da cihazların engellenmesini ve mevcut belirteçlerin iptal edilmesini özellikle öneriyor. 40

Knight Office’i daha kritik hâle getiren nokta, olay sonrası etkinlikte saldırgana ait yetkisiz bir cihazın Microsoft Entra ID’ye kaydedilmesi ve saldırganın denetimindeki Windows Hello for Business kimlik bilgilerinin yapılandırılmasıdır. 6 Bu, ayrı bir oturum açma yolu yaratabilir: İlk web oturumu iptal edilse veya parola sıfırlansa bile savunma ekipleri yetkisiz bir cihazın ya da yeni kimlik doğrulama yönteminin kalmadığını doğrulamalıdır.

Benzer bir kalıcılık yaklaşımı cihaz kodu kimlik avı araştırmalarında da belgelenmiştir. Microsoft, kötüye kullanılmış cihaz kodu akışından elde edilen yenileme belirtecinin cihaz kaydı için erişim almada ve saldırgan denetimindeki bir cihazı Entra ID’ye kaydetmede kullanılabildiğini bildirdi. 28

Cihaz kodu kimlik avı AiTM ile ilişkili, ancak aynı şey değil

AiTM kimlik avı canlı oturum açmayı vekil üzerinden geçirir ve sonuçta oluşan oturumu çalar. Cihaz kodu kimlik avı ise meşru OAuth cihaz yetkilendirme akışını kötüye kullanır: Saldırgan bir cihaz kodu isteği başlatır, kurbanı kodu girmeye ve kimlik doğrulamaya ikna eder; kurban onaylarsa saldırganın denetimindeki istemci belirteçleri alır. 22

Her iki teknikte de saldırganın hedefi parola toplamak değil, kullanılabilir yetkilendirme verisi edinmektir. Bu yüzden tespit programları iki yolu da kapsamalıdır. Elastic’in cihaz kodu tespit kuralı, Microsoft Authentication Broker istemcisiyle cihaz kodu protokolünü kullanan ve Exchange Online, Microsoft Graph veya SharePoint gibi birinci taraf kaynakları isteyen başarılı, etkileşimli Entra oturum açmalarına dikkat çekiyor. 17

Gözlenen faaliyet ve PhaaS bağlamı

Huntress araştırması, Knight Office için gerçek bir saldırı dizisi ortaya koydu: belge temalı olta, çok aşamalı yönlendirmeler, oturum belirteci ele geçirme ve yetkisiz Entra cihaz kaydı. Huntress telemetrisi, tekrarlanan belirteç yeniden kullanımlarını tek bir IP adresiyle ilişkilendirdi; ancak bu gözlem küresel mağdur sayısı olarak yorumlanmamalı. 6

Knight Office, Microsoft 365 kimlik oturumlarını hedefleyen daha geniş kimlik avı-hizmet-olarak (PhaaS) pazarının da bir parçası:

• Mirage2FA, kimlik bilgileriyle birlikte doğrulanmış oturumları ele geçirmek için AiTM altyapısı kullanıyor. ANY.RUN, 2024-2026 arasında 9.332 potansiyel ihlal olayı kaydettiğini, bunların 4.561’inin çerez hırsızlığı olduğunu bildirdi. Bunlar doğrulanmış mağdur sayısı değil, telemetri temelli potansiyel olaylardır. 4
• Kali365, ilk kez Nisan 2026’da görüldü ve ağırlıkla Telegram üzerinden dağıtıldı. FBI, kitin Microsoft 365 OAuth erişim ve yenileme belirteçlerini elde edebilme kabiliyeti hakkında uyarı yayımladı. 1

Ortak savunma dersi açık: Oturum ve belirteç kötüye kullanımını, parola ihlali kadar ciddiyetle önlemek, tespit etmek ve müdahale etmek gerekir.

Entra ID ve Microsoft 365 için tespit öncelikleri

Tek bir uyarı yerine olaylar arası ilişkilendirmeye odaklanın.

1. Şüpheli oturum tekrar kullanımını bulun

Aynı hesap veya oturumun kısa süre içinde belirgin biçimde farklı IP adresleri, ağlar, coğrafi konumlar, tarayıcılar ya da cihaz özellikleriyle görülmesini araştırın. Bu durum, özellikle başarılı MFA’dan hemen sonra meydana geliyorsa önceliklidir. Microsoft, oturum çerezleriyle ilişkili anormal belirteç kullanımı ve tanınmayan oturum açma özellikleri için tespitler sunduğunu belirtiyor. 38

2. Şüpheli cihaz kodu etkinliğini avlayın

Başarılı cihaz kodu kimlik doğrulamalarını gözden geçirin; istemcinin, kaynak IP’nin, istenen kaynağın ve kullanıcı davranışının beklenen kullanımla uyumlu olup olmadığını değerlendirin. Entra oturum açma günlüklerinde cihaz kodu etkinliği authenticationProtocol: deviceCode ve originalTransferMethod: deviceCodeFlow gibi alanlarla saptanabilir. 26

3. Kalıcılık değişikliklerini izleyin

Aşağıdaki Entra denetim olaylarına öncelik verin:

• Yeni cihaz kaydı, etki alanına katılım, cihaz sahipliği değişikliği veya sıra dışı cihaz tanımlayıcıları.
• Yeni Windows Hello for Business, FIDO2/passkey, MFA ya da kurtarma kimlik doğrulama yöntemi eklenmesi.
• Uygulama izin onayı, kurumsal uygulama değişiklikleri, hizmet sorumluları veya ayrıcalıklı rol atamaları.
• Koşullu Erişim, adlandırılmış konum, federasyon, posta yönlendirme ve gelen kutusu kuralı değişiklikleri.

Şüpheli bir kimlik doğrulamayı kısa süre içinde izleyen yetkisiz cihaz kaydı, yüksek öncelikli bir kimlik kalıcılığı işareti sayılmalıdır. 2628

4. E-posta ile kimlik kanıtlarını birleştirin

Tek başına DocuSign temalı bir e-posta spam olabilir; tek başına yeni bir Entra cihazı da meşru olabilir. Ancak şüpheli mesaj, yönlendirme zinciri kanıtı, başarılı MFA olayı, anormal oturum yeniden kullanımı ve cihaz ya da kimlik doğrulama yöntemi değişikliğinin bir arada görülmesi çok daha güçlü bir bulgudur.

Olay müdahalesi: Sadece parolayı değil, kimliği çevreleyin

Şüpheli bir AiTM veya cihaz kodu kaynaklı belirteç hırsızlığında kimlik odaklı bir çevreleme akışı uygulanmalı:

1. Gerekirse etkilenen kimliği engelleyin veya devre dışı bırakın. Kapsam belirlenirken etkilenen kullanıcı ve cihaz hesaplarını kapatın. 40
2. Mevcut oturumları ve yenileme belirteçlerini iptal edin. Entra oturum iptal sürecini kullanın ve yeniden kimlik doğrulama zorunluluğu getirin. Microsoft, cihaz kodu kimlik avı müdahalesinde revokeSignInSessions ile yenileme belirteçlerinin iptalini özellikle öneriyor. 27
3. Parolayı sıfırlayın, fakat burada durmayın. Parola sıfırlama tamamlayıcı bir kontrol tedbiridir; saldırgan erişiminin bittiğinin kanıtı değildir. 4042
4. Kalıcılığı kaldırın. Yetkisiz Entra cihazlarını belirleyip kaldırın; cihaz sahipliğini inceleyin; yakın zamanda eklenen Windows Hello for Business, FIDO2, MFA, kurtarma ve uygulama kimlik bilgilerini kaldırın; izin onaylarını denetleyin. 628
5. Kiracı genelinde av yapın. Tüm kullanıcılar arasında eşleşen olta URL’leri, yönlendirme altyapısı, şüpheli kaynak IP’ler, cihaz kodu olayları, MFA sonrası anormallikler ve yeni cihaz kayıtlarını arayın.
6. İş etkisini değerlendirin. Exchange, SharePoint, OneDrive, Teams, Microsoft Graph, OAuth ve yönetim denetim kayıtlarında veri erişimi, gelen kutusu kuralları, yönlendirme, dış paylaşım, izin kötüye kullanımı, ayrıcalık değişiklikleri ve SSO bağlı uygulama erişimini inceleyin.
7. Temizlik öncesinde kanıtları koruyun. Kimlik avı e-postaları ve üstbilgileri, posta izleri, yönlendirme zincirleri, Entra oturum açma ve denetim günlükleri, cihaz kayıtları, OAuth izin kayıtları ile tarayıcı veya uç nokta telemetrisini saklayın.

Bir sonraki oltadan önce riski azaltın

Kimlik avına dayanıklı doğrulama, yüksek riskli kullanıcılar için önemli bir kontroldür; ancak katmanlı güvenlik programının parçası olmalıdır. Microsoft; FIDO2 güvenlik anahtarları, Windows Hello for Business ve sertifika tabanlı kimlik doğrulama gibi kimlik avına dayanıklı yöntemleri, ayrıca yönetilmeyen cihazlarda oturumların kullanılabilir ömrünü azaltan kontrolleri öneriyor. 39

Kurumlar ayrıca cihaz kodu akışının kendi ortamlarında gerçekten gerekli olup olmadığını değerlendirmeli; yetkisiz cihaz kaydını sınırlamalı; uyumlu cihaz ve risk temelli Koşullu Erişim politikaları uygulamalı; oturumları hızlıca iptal edebilecek ve kimlik nesnesi değişikliklerini inceleyebilecek operasyonel süreçleri hazır tutmalıdır.

Knight Office’in temel mesajı MFA’nın başarısız olduğu değildir. Asıl mesele, saldırganın MFA sonrasında oluşan oturumu çalması hâlinde başarılı MFA olayının ihlalin başlangıcı olabilmesidir. Müdahale; kiracıdaki oturumlar, cihazlar, kimlik doğrulama yöntemleri ve devredilmiş erişimlerin tamamı kontrol edilip çevrelenmeden bitmiş sayılmamalıdır.