Knight Office: Kẻ tấn công đánh cắp phiên Microsoft 365 sau MFA như thế nào

Knight Office là lời nhắc rõ ràng rằng MFA chỉ xác thực một lần đăng nhập; nó không tự động bảo vệ mọi phiên được tạo ra sau lần đăng nhập đó. Trong vụ việc do Huntress ghi nhận, một chuỗi lừa đảo adversary-in-the-middle (AiTM, kẻ đứng giữa) đã thu thập dữ liệu phiên Microsoft 365, sau đó dẫn tới việc đăng ký thiết bị trái phép trong Microsoft Entra ID. Vì vậy, đây cần được xử lý như một sự cố xâm phạm danh tính, chứ không đơn thuần là lộ mật khẩu. 640

Chuỗi tấn công Knight Office diễn ra ra sao?

Chuỗi tấn công được quan sát bắt đầu bằng email lừa đảo theo phong cách DocuSign. Liên kết trong email đi qua một dịch vụ theo dõi của Monday.com, rồi chuyển tới một website Joomla đã bị xâm nhập. Các bước trung gian này giúp che giấu trang lừa đảo cuối cùng khỏi công cụ đánh giá uy tín URL và việc kiểm tra liên kết cơ bản. 6

Ở trang đích, kẻ tấn công có thể dựng một quy trình trông giống đăng nhập hoặc cộng tác của Microsoft, nhằm khiến nạn nhân tiếp tục xác thực, kể cả theo kiểu tương tác mã thiết bị. Mục tiêu là làm người dùng phê duyệt một luồng xác thực mà họ tưởng là hợp lệ.

Thành phần AiTM hoạt động như reverse proxy, nằm giữa nạn nhân và dịch vụ đăng nhập Microsoft thật:

1. Nạn nhân nhập thông tin đăng nhập và hoàn tất thử thách MFA bình thường.
2. Proxy chuyển tiếp các tương tác này đến Microsoft theo thời gian thực.
3. Khi xác thực thành công, kẻ tấn công thu được cookie phiên đã xác thực hoặc dữ liệu token khác mà trình duyệt nhận về.
4. Kẻ tấn công phát lại trạng thái đã xác thực đó từ hạ tầng của mình để truy cập tài khoản.

Điều này không có nghĩa là MFA bị phá vỡ về mặt mật mã. Kẻ tấn công đánh cắp trạng thái cấp quyền được tạo ra sau MFA. Microsoft định nghĩa đánh cắp token là việc xâm phạm và phát lại token được cấp cho người dùng, kể cả khi người dùng đó đã hoàn thành xác thực đa yếu tố. 40

Vì sao đổi mật khẩu vẫn có thể chưa chấm dứt xâm nhập?

Một phiên trình duyệt bị đánh cắp, hoặc quyền truy cập bắt nguồn từ refresh token, có thể giúp kẻ xâm nhập tiếp tục hoạt động mà không cần bị hỏi lại mật khẩu hay MFA, cho đến khi token liên quan bị thu hồi. Hướng dẫn ứng phó đánh cắp token của Microsoft nêu rõ cần chặn người dùng hoặc thiết bị bị ảnh hưởng và thu hồi token hiện hành. 40

Knight Office đáng lo hơn vì hoạt động hậu xâm nhập được báo cáo có cả việc ghi danh một máy trái phép vào Microsoft Entra ID và thiết lập thông tin đăng nhập Windows Hello for Business do kẻ tấn công kiểm soát. 6 Đây có thể trở thành một đường xác thực riêng: ngay cả khi phiên web ban đầu đã bị thu hồi hoặc mật khẩu đã đổi, đội phòng thủ vẫn cần xác minh không còn thiết bị hay phương thức xác thực mới nào trái phép.

Khái niệm bám trụ tương tự cũng được ghi nhận trong nghiên cứu về lừa đảo bằng mã thiết bị. Microsoft cho biết refresh token lấy được từ một luồng mã thiết bị bị lạm dụng có thể được dùng để xin quyền truy cập phục vụ đăng ký thiết bị, rồi đăng ký thiết bị do tác nhân tấn công kiểm soát trong Entra ID. 28

Lừa đảo mã thiết bị liên quan, nhưng không đồng nhất với AiTM

AiTM làm proxy cho một phiên đăng nhập trực tiếp và đánh cắp phiên tạo ra sau đó. Còn lừa đảo mã thiết bị lạm dụng một luồng ủy quyền OAuth hợp pháp: kẻ tấn công khởi tạo yêu cầu mã thiết bị, dụ nạn nhân nhập mã và xác thực, rồi nhận token cho ứng dụng do chúng kiểm soát nếu nạn nhân phê duyệt. 22

Cả hai kỹ thuật đều chuyển mục tiêu từ thu thập mật khẩu sang chiếm lấy các dữ liệu cấp quyền có thể sử dụng được. Vì vậy, chương trình phát hiện cần bao quát cả hai con đường. Hướng dẫn phát hiện của Elastic nhấn mạnh các lần đăng nhập Entra tương tác, thành công, dùng giao thức mã thiết bị với ứng dụng Microsoft Authentication Broker và yêu cầu tài nguyên chính chủ như Exchange Online, Microsoft Graph hoặc SharePoint. 17

Hoạt động đã quan sát và bối cảnh PhaaS

Cuộc điều tra của Huntress đã xác lập chuỗi xâm nhập Knight Office gồm mồi nhử dạng tài liệu, chuyển hướng nhiều chặng, thu thập token phiên và ghi danh thiết bị Entra trái phép. Huntress cũng liên hệ các lần phát lại token lặp lại trong telemetry của họ với một địa chỉ IP duy nhất; tuy nhiên, quan sát này không nên được hiểu là tổng số nạn nhân trên toàn cầu. 6

Knight Office cũng nằm trong thị trường rộng hơn của các bộ công cụ phishing-as-a-service (PhaaS, lừa đảo dưới dạng dịch vụ) nhắm vào phiên danh tính Microsoft 365:

• Mirage2FA dùng hạ tầng AiTM để thu thập thông tin đăng nhập và các phiên đã xác thực. ANY.RUN báo cáo 9.332 sự kiện xâm phạm tiềm năng trong giai đoạn 2024–2026, trong đó có 4.561 sự kiện đánh cắp cookie. Đây là số liệu telemetry về sự kiện tiềm năng, không phải số nạn nhân đã được xác nhận. 4
• Kali365, lần đầu được phát hiện vào tháng 4/2026 và chủ yếu phân phối qua Telegram, là đối tượng của cảnh báo FBI do có khả năng lấy token OAuth truy cập và refresh token của Microsoft 365. 1

Bài học phòng thủ chung rất trực diện: cần bảo vệ, phát hiện và ứng phó với hành vi lạm dụng phiên, token nghiêm ngặt như đối với sự cố lộ mật khẩu.

Ưu tiên phát hiện trong Entra ID và Microsoft 365

Đừng chỉ dựa vào một cảnh báo đơn lẻ; hãy ưu tiên tương quan nhiều tín hiệu.

1. Tìm dấu hiệu phát lại phiên đáng ngờ

Điều tra các lần đăng nhập mà cùng tài khoản hoặc phiên xuất hiện từ địa chỉ IP, mạng, vị trí địa lý, trình duyệt hay đặc tính thiết bị khác biệt đáng kể trong thời gian ngắn — đặc biệt ngay sau một lần MFA thành công. Microsoft có các cơ chế phát hiện việc dùng token bất thường và thuộc tính đăng nhập không quen thuộc liên quan đến cookie phiên. 38

2. Săn tìm hoạt động mã thiết bị bất thường

Rà soát các lần xác thực mã thiết bị thành công và đánh giá liệu ứng dụng khách, IP nguồn, tài nguyên được yêu cầu và hành vi của người dùng có hợp lý hay không. Trong nhật ký đăng nhập Entra, hoạt động này có thể được nhận diện qua các trường như authenticationProtocol: deviceCode và originalTransferMethod: deviceCodeFlow. 26

3. Theo dõi thay đổi có thể tạo bám trụ

Ưu tiên các sự kiện kiểm toán Entra liên quan đến:

• Đăng ký, join, thay đổi chủ sở hữu thiết bị mới hoặc mã định danh thiết bị bất thường.
• Phương thức Windows Hello for Business, FIDO2/passkey, MFA hoặc khôi phục tài khoản vừa được thêm.
• Cấp quyền đồng ý cho ứng dụng, thay đổi ứng dụng doanh nghiệp, service principal hoặc phân quyền đặc quyền.
• Thay đổi Conditional Access, vị trí được đặt tên, federation, chuyển tiếp email và quy tắc hộp thư đến.

Một thiết bị được đăng ký trái phép ngay sau xác thực đáng ngờ phải được xem là tín hiệu bám trụ danh tính ở mức ưu tiên cao. 2628

4. Đối chiếu bằng chứng email với dữ liệu danh tính

Một email mang chủ đề DocuSign có thể chỉ là spam; một thiết bị Entra mới cũng có thể hợp lệ. Nhưng tổ hợp gồm thư đáng ngờ, dấu vết chuỗi chuyển hướng, sự kiện MFA thành công, tái sử dụng phiên bất thường và thay đổi thiết bị hoặc phương thức xác thực sẽ có giá trị xử lý cao hơn nhiều.

Ứng phó sự cố: cô lập danh tính, không chỉ đổi mật khẩu

Với sự cố nghi ngờ AiTM hoặc đánh cắp token qua mã thiết bị, hãy dùng quy trình cô lập danh tính:

1. Chặn hoặc vô hiệu hóa danh tính bị ảnh hưởng khi cần. Vô hiệu hóa tài khoản người dùng và thiết bị liên quan trong lúc xác định phạm vi sự cố. 40
2. Thu hồi phiên hiện hành và refresh token. Dùng quy trình thu hồi phiên đăng nhập Entra, sau đó buộc xác thực lại. Microsoft đặc biệt khuyến nghị thu hồi refresh token bằng revokeSignInSessions khi ứng phó lừa đảo mã thiết bị. 27
3. Đặt lại mật khẩu, nhưng không dừng tại đó. Đổi mật khẩu là biện pháp bổ sung, không phải bằng chứng rằng quyền truy cập của kẻ tấn công đã bị loại bỏ. 4042
4. Gỡ bỏ cơ chế bám trụ. Xác định và xóa thiết bị Entra trái phép; rà soát quyền sở hữu thiết bị; loại bỏ các thông tin Windows Hello for Business, FIDO2, MFA, khôi phục và ứng dụng vừa được thêm; đồng thời kiểm tra các cấp quyền đồng ý. 628
5. Săn tìm trên toàn tenant. Tìm URL mồi nhử, hạ tầng chuyển hướng, IP nguồn đáng ngờ, sự kiện mã thiết bị, bất thường đăng nhập sau MFA và đăng ký thiết bị mới trên toàn bộ người dùng.
6. Đánh giá tác động kinh doanh. Kiểm tra hoạt động Exchange, SharePoint, OneDrive, Teams, Microsoft Graph, OAuth và nhật ký quản trị để phát hiện truy cập dữ liệu, quy tắc hộp thư, chuyển tiếp, chia sẻ ra ngoài, lạm dụng consent, thay đổi đặc quyền và truy cập vào ứng dụng kết nối SSO.
7. Bảo toàn bằng chứng trước khi dọn dẹp. Lưu giữ email lừa đảo và header, mail trace, chuỗi chuyển hướng, nhật ký đăng nhập và kiểm toán Entra, hồ sơ thiết bị, dữ liệu OAuth consent cùng telemetry từ trình duyệt hoặc endpoint.

Giảm rủi ro trước mồi nhử tiếp theo

Xác thực chống lừa đảo là biện pháp quan trọng cho người dùng rủi ro cao, nhưng cần nằm trong một chương trình phòng thủ nhiều lớp. Microsoft khuyến nghị các phương thức như khóa bảo mật FIDO2, Windows Hello for Business và xác thực dựa trên chứng chỉ; đồng thời áp dụng kiểm soát để giảm thời gian phiên còn hữu dụng trên thiết bị không được quản lý. 39

Tổ chức cũng nên đánh giá liệu luồng mã thiết bị có thực sự cần thiết hay không, hạn chế đăng ký thiết bị trái phép, áp dụng Conditional Access theo trạng thái tuân thủ của thiết bị và mức rủi ro, đồng thời bảo đảm đội vận hành có thể nhanh chóng thu hồi phiên và điều tra các thay đổi đối tượng danh tính.

Bài học trung tâm từ Knight Office không phải là MFA đã thất bại. Đó là: một lần MFA thành công có thể là điểm bắt đầu của sự cố nếu kẻ tấn công đánh cắp phiên được tạo ra ngay sau đó. Việc ứng phó chỉ hoàn tất khi tổ chức đã kiểm tra và cô lập đầy đủ các phiên, thiết bị, phương thức xác thực và quyền truy cập được ủy quyền trong tenant.