Knight Office: як фішинг AiTM викрадає сесії Microsoft 365 після MFA

MFA підтверджує конкретний вхід, але не гарантує автоматичного захисту кожної сесії, створеної після нього. Інцидент із Knight Office, описаний Huntress, демонструє саме цю проблему: ланцюжок фішингу типу «зловмисник посередині» — AiTM (adversary-in-the-middle) — перехопив матеріал сесії Microsoft 365, а далі відбулася несанкціонована реєстрація пристрою в Microsoft Entra ID. Отже, операційно це слід класифікувати як компрометацію цифрової ідентичності, а не як ізольоване викрадення пароля. 640

Як працює ланцюжок Knight Office

Атака починалася з фішингового листа, стилізованого під DocuSign. Посилання проходило через сервіс відстеження Monday.com, а потім вело на скомпрометований сайт Joomla. Такий ланцюжок перенаправлень приховує кінцеву фішингову сторінку від репутаційних перевірок і поверхневого аналізу посилань у листі. 6

На цільовій сторінці жертві можуть показати правдоподібний сценарій входу або роботи зі спільними сервісами Microsoft, зокрема взаємодію, схожу на введення коду автентифікації пристрою. Мета — переконати людину завершити авторизацію, яку вона вважає легітимною.

AiTM-компонент діє як зворотний проксі між користувачем і справжнім сервісом входу Microsoft:

1. Користувач вводить облікові дані та проходить звичну MFA-перевірку.
2. Проксі в реальному часі передає ці дії справжньому сервісу Microsoft.
3. Після успішної автентифікації зловмисник перехоплює cookie автентифікованої сесії або інший токенний матеріал, який повертається браузеру.
4. Далі цей автентифікований стан відтворюють із власної інфраструктури для доступу до облікового запису.

Це не означає, що хтось криптографічно «зламав MFA». Викрадається стан авторизації, який система видала після MFA. Microsoft визначає крадіжку токенів як компрометацію та повторне використання токенів, виданих користувачу, який уже міг пройти багатофакторну автентифікацію. 40

Чому скидання пароля може не завершити вторгнення

Викрадена браузерна сесія або доступ, отриманий через refresh token, можуть дати зловмиснику змогу діяти без нового запиту пароля чи MFA, доки відповідні токени не буде відкликано. У рекомендаціях Microsoft щодо викрадення токенів прямо вказано блокувати уражених користувачів або пристрої та відкликати чинні токени. 40

Knight Office робить ситуацію серйознішою: після компрометації, за даними Huntress, зловмисники зареєстрували несанкціонований хост у Microsoft Entra ID і налаштували контрольовані ними облікові дані Windows Hello for Business. 6 Це може створити окремий шлях автентифікації. Тому навіть після відкликання початкової вебсесії чи скидання пароля необхідно перевірити, чи не залишилися чужий пристрій або новий метод входу.

Подібний механізм закріплення Microsoft описувала і для фішингу через коди пристроїв: refresh token, отриманий через зловживання потоком device code, можна використати для доступу до служби реєстрації пристроїв і додати контрольований зловмисником пристрій до Entra ID. 28

Фішинг через код пристрою: споріднений, але інший сценарій

AiTM-фішинг проксіює живий процес входу та викрадає створену сесію. Фішинг через код пристрою натомість зловживає легітимним OAuth-потоком авторизації пристрою: атакувальник ініціює запит на код, переконує жертву ввести цей код та автентифікуватися — і, якщо жертва підтвердила дію, токени для клієнта, контрольованого атакувальником, стають доступними йому. 22

В обох випадках ціль зловмисника зміщується від збору пароля до отримання придатних артефактів авторизації. Тому моніторинг має покривати обидва шляхи. Elastic радить звертати увагу на успішні інтерактивні входи Entra з протоколом device code, клієнтом Microsoft Authentication Broker і запитами до власних ресурсів Microsoft — Exchange Online, Microsoft Graph або SharePoint. 17

Knight Office у ширшому контексті PhaaS

Розслідування Huntress підтвердило реальну послідовність дій Knight Office: документна приманка, багатоступеневі перенаправлення, захоплення сесійного токена та несанкціонована реєстрація пристрою в Entra ID. Huntress також пов’язала повторне відтворення токенів у власній телеметрії з однією IP-адресою, але це не слід трактувати як глобальну кількість жертв. 6

Knight Office вкладається у ширший ринок наборів phishing-as-a-service (PhaaS), орієнтованих на сесії ідентичності Microsoft 365:

• Mirage2FA використовує AiTM-інфраструктуру для захоплення облікових даних і автентифікованих сесій. ANY.RUN повідомила про 9 332 потенційні події компрометації у 2024–2026 роках, зокрема 4 561 подію викрадення cookie. Це телеметричні потенційні події, а не підтверджена кількість жертв. 4
• Kali365, уперше помічений у квітні 2026 року й поширюваний переважно через Telegram, став предметом попередження ФБР через здатність отримувати OAuth access token і refresh token Microsoft 365. 1

Спільний висновок для захисту простий: до зловживання сесіями й токенами треба ставитися з такою ж серйозністю, як до компрометації паролів.

Що шукати в Entra ID та Microsoft 365

Ключовим є не один окремий сигнал, а кореляція подій.

1. Підозріле повторне використання сесії

Перевіряйте входи, за яких той самий обліковий запис або сеанс за короткий час з’являється з істотно різних IP-адрес, мереж, географічних локацій, браузерів чи властивостей пристроїв — особливо одразу після успішної MFA. Microsoft має виявлення аномального використання токенів і незнайомих властивостей входу, пов’язаних із cookie сесій. 38

2. Аномальна активність device code

Переглядайте успішні автентифікації через device code та оцінюйте, чи відповідають контексту клієнт, IP-адреса, запитуваний ресурс і звична поведінка користувача. У журналах входу Entra такі події можна ідентифікувати, зокрема, за полями authenticationProtocol: deviceCode та originalTransferMethod: deviceCodeFlow. 26

3. Зміни, що створюють стійкість

Пріоритетно аналізуйте події аудиту Entra, пов’язані з:

• новою реєстрацією або приєднанням пристрою, зміною власника чи незвичними ідентифікаторами пристроїв;
• додаванням Windows Hello for Business, FIDO2/passkey, MFA або резервних методів автентифікації;
• наданням згоди застосункам, змінами корпоративних застосунків, service principal або призначенням привілейованих ролей;
• змінами Conditional Access, іменованих розташувань, федерації, пересилання пошти та правил вхідних повідомлень.

Несанкціонована реєстрація пристрою невдовзі після підозрілої автентифікації — це сигнал високого пріоритету щодо закріплення в системі ідентичностей. 2628

4. Поєднуйте поштові та ідентифікаційні докази

Лист під DocuSign окремо може бути звичайним спамом, а новий пристрій в Entra — легітимною подією. Але комбінація підозрілого листа, слідів перенаправлень, успішної MFA, аномального повторного використання сесії та зміни пристрою або методу автентифікації вже є значно вагомішою підставою для реагування.

Реагування: стримуйте компрометацію ідентичності, а не лише міняйте пароль

За підозри на AiTM або викрадення токенів через device code використовуйте процес стримування на рівні цифрової ідентичності.

1. За потреби заблокуйте або вимкніть уражену ідентичність. Поки визначається масштаб інциденту, вимикайте скомпрометовані облікові записи користувачів і пристроїв. 40
2. Відкличте чинні сесії та refresh token. Застосуйте процес відкликання сеансів входу Entra й примусово вимагайте повторну автентифікацію. Для реагування на фішинг device code Microsoft окремо рекомендує revokeSignInSessions. 27
3. Скиньте пароль, але не зупиняйтеся на цьому. Зміна пароля є додатковим заходом стримування, але не доказом, що доступ зловмисника зник. 4042
4. Приберіть механізми закріплення. Виявляйте та видаляйте несанкціоновані пристрої Entra; перевіряйте їхніх власників; видаляйте нещодавно додані Windows Hello for Business, FIDO2, MFA, резервні та прикладні облікові дані; аналізуйте надані згоди. 628
5. Проведіть пошук по всьому тенанту. Шукайте пов’язані URL-приманки, інфраструктуру перенаправлень, підозрілі IP-адреси, події device code, аномалії після MFA та нові реєстрації пристроїв у всіх користувачів.
6. Оцініть вплив на дані та процеси. Перевірте журнали Exchange, SharePoint, OneDrive, Teams, Microsoft Graph, OAuth та адміністративні події: доступ до даних, правила поштових скриньок, пересилання, зовнішній спільний доступ, зловживання згодою, підвищення привілеїв і доступ до застосунків через SSO.
7. Збережіть докази до очищення. Зафіксуйте фішингові листи та заголовки, трасування пошти, ланцюжки перенаправлень, журнали входу й аудиту Entra, записи про пристрої, OAuth-згоди, а також телеметрію браузерів і кінцевих точок.

Як зменшити ризик до наступної приманки

Фішинг-стійка автентифікація важлива для користувачів із підвищеним ризиком, але вона має бути частиною багаторівневої програми. Microsoft рекомендує такі методи, як ключі безпеки FIDO2, Windows Hello for Business і автентифікація на основі сертифікатів, а також політики, що скорочують строк придатності сесій на некерованих пристроях. 39

Організаціям також варто оцінити, чи справді потрібен потік device code у їхньому середовищі, обмежити несанкціоновану реєстрацію пристроїв, застосувати Conditional Access з урахуванням відповідності пристрою та ризику й переконатися, що команда безпеки здатна швидко відкликати сесії та розслідувати зміни об’єктів ідентичності.

Головний урок Knight Office не в тому, що MFA «не спрацювала». Проблема в іншому: успішна MFA може стати початком компрометації, якщо зловмисник викрав сесію, яка з’явилася після неї. Реагування буде повним лише тоді, коли перевірено й локалізовано сесії, пристрої, методи автентифікації та делегований доступ у всьому тенанті.