Microsoft: תוקפים מנצלים הפניות OAuth כדי לעקוף הגנות דוא״ל ולהפיץ נוזקה
ב-2 במרץ 2026 פרסמה Microsoft שקמפיינים נגד גופים ממשלתיים מנצלים את מנגנון ההפניה של OAuth. הקורבן מתחיל בדף התחברות אמיתי ומגיע לפישינג או להורדת נוזקה.
TL;DR בקצרה
- צוות Defender של Microsoft פרסם ב-2 במרץ 2026 שתוקפים מנצלים את OAuth redirection, מנגנון שפועל כמתוכנן.
- הקישור מכוון לשגיאה בכוונה, ו-Entra ID מפנה את הקורבן לכתובת שהתוקף רשם.
- בקמפיין אחד הורד ZIP עם קיצור LNK שהריץ PowerShell והפעיל נוזקה בטעינה צדדית של DLL.
- Microsoft Entra השבית את האפליקציות הזדוניות, אך פעילות דומה נמשכת.
Microsoft פרסמה ב-2 במרץ 2026 שתוקפים מנצלים את OAuth redirection, מנגנון ההפניה של תקן OAuth. לפי צוות Defender של Microsoft, הקמפיינים פוגעים בגופים ממשלתיים וציבוריים. הקורבן מתחיל בדף התחברות אמיתי. הוא מגיע לאתר פישינג או להורדת נוזקה.
איך OAuth redirection הופך דף התחברות אמיתי למלכודת
OAuth הוא התקן שמאפשר לאפליקציה לבקש גישה לחשבון. כשהבקשה נכשלת, שירות הזהות, כמו Microsoft Entra ID, מפנה את המשתמש לכתובת שהאפליקציה רשמה מראש. Microsoft מגדירה זאת ניצול של מנגנון שפועל כמתוכנן.
התוקף יוצר אפליקציה זדונית בסביבה שבשליטתו. הוא רושם בה כתובת הפניה לדומיין שמארח נוזקה. אחר כך הוא מפיץ קישור שמכיל בקשת התחברות עם פרמטרים מכוונים. הקישור מתחיל בדף התחברות אמיתי. לכן מסנני דוא״ל ודפדפנים לא תמיד חוסמים אותו, לפי Help Net Security.
הפרמטר prompt=none מבקש התחברות שקטה, וה-scope שגוי בכוונה. Entra מחזיר שגיאה, כמו interaction_required, ומפנה את הקורבן לכתובת של התוקף. ההתחברות נכשלת ואין אסימון. התוקף מבין שהחשבון קיים ושהתחברות שקטה חסומה.
התוקף משבץ את כתובת הדוא״ל של הקורבן בפרמטר state. כך דף הפישינג מציג אותה מראש בשדה ההתחברות. הקישור מגיע לעיתים בתוך PDF. התוקפים שלחו אותו בכלי שליחה המוני, בסקריפטים של Python ושל Node.js ובשירותי דוא״ל בענן.
מה קורה אחרי ההפניה
הקורבן מגיע לנתיב /download/ או לדף של מסגרת פישינג כמו EvilProxy. EvilProxy מעביר את ההתחברות בזמן אמת ותופס סיסמאות וקובצי cookie של session. Microsoft מציינת את EvilProxy כדוגמה, ומוסיפה שיש גם מסגרות אחרות.
בקמפיין אחד הורד ZIP אוטומטית. בתוכו קיצור LNK שהריץ PowerShell. הסקריפט הריץ פקודות איסוף מידע כמו ipconfig /all ו-tasklist, ואז פתח ארכיון בכלי tar.
אחר כך הוא הפעיל את steam_monitor.exe, אפליקציה לגיטימית. היא טענה את crashhandler.dll הזדוני, בטכניקה שנקראת טעינה צדדית של DLL. ה-DLL פענח את crashlog.dat, הריץ את המטען בזיכרון והתחבר לשרת שליטה. Microsoft לא נתנה שם למשפחת הנוזקה. היא ראתה בהמשך פעילות ידנית של תוקף, שלפי הדוח מתאימה לשלב ההכנה של תקיפת כופר.
הפיתיונות כללו שיתוף מסמכים, הקלטות של Teams, בקשות לחתימה אלקטרונית ואימות סיסמת Microsoft 365. היו גם הזמנות ביומן, ונושאים כמו ביטוח לאומי אמריקאי, כספים ופוליטיקה.
Microsoft Entra השבית את האפליקציות שזוהו. Microsoft מציינת שפעילות OAuth דומה נמשכת. היא לא מסרה את היקף הקמפיינים.
איך מזהים OAuth redirection ב-Defender
המערכת של Microsoft מסירה הודעות, קישורים וקמפיינים זדוניים גם אחרי שהגיעו לתיבות הדואר. בנוסף, מערכת ההגנה לתחנות קצה מציגה התראה ייעודית: בדיקת OAuth שקטה, ואחריה ניסיון להוריד נוזקה.
Microsoft מפרסמת גם חמש שאילתות ציד ב-Defender XDR. הן מחפשות למשל לחיצות על קישורים עם scope=invalid והורדות אחרי הפניות OAuth. בארגון בלי צוות אבטחה, כדאי לשאול את ספק ה-IT אם הציד הזה רץ.
מה זה אומר עבורכם
- הגבילו הסכמת משתמשים: אל תאפשרו לכל עובד לאשר אפליקציות OAuth. זו המלצה ראשונה של Microsoft.
- סקרו את האפליקציות: בדקו ב-Entra אילו אפליקציות רשומות ומה ההרשאות שלהן. הסירו כאלה שאינן בשימוש או שיש להן הרשאות יתר.
- הפעילו הגנות זהות: השתמשו ב-Conditional Access ובהגנת זהות. Microsoft ממליצה גם על זיהוי שחוצה דוא״ל, זהות ותחנות קצה.
- חפשו בדוא״ל: מצאו קישורי התחברות עם prompt=none ו-scope לא תקין, והפניות לדומיינים לא צפויים. כך ממליצה Microsoft לחפש.
- הנחו את העובדים: אם אחרי קישור התחברות מתחילה הורדה של ZIP, אל תפתחו אותו. דווחו לצוות האבטחה.
- כבר לחצתם על קישור חשוד? מה עושים ב-24 השעות הראשונות, לפי CyberGuard.
מקורות והרחבה
- OAuth redirection abuse enables phishing and malware deliveryMicrosoft Security Blog
- Threat actors weaponize OAuth redirection logic to deliver malwareHelp Net Security
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
