Huntress: תוקף נכנס לחשבונות Microsoft 365 ב-79 ארגונים עם אסימונים גנובים, למרות MFA
בין יולי לספטמבר תוקף גנב אסימוני התחברות דרך דפי כניסה מתווכים ופישינג בקוד מכשיר, והשתמש בהם מחדש כדי לעקוף אימות דו-שלבי. Huntress מפרטת איך הוא נשאר בפנים, ומה צריך לבדוק ב-Entra.
TL;DR בקצרה
- Huntress טיפלה באירועים ב-79 ארגונים ותיעדה לפחות 497 כניסות מוצלחות בין 14 ביולי ל-22 בספטמבר.
- התוקף לא ניחש סיסמאות: הוא גנב אסימוני התחברות אחרי שלב ה-MFA, והשתמש בהם מחדש תוך דקות.
- כדי להישאר בפנים הוא רשם אפליקציות אימות משלו ולפחות 48 מכשירים מזויפים, גישה ששורדת החלפת סיסמה.
- ההמלצה המרכזית: מדיניות Conditional Access שדורשת MFA מכל המשתמשים, בכל האפליקציות ובכל סוגי הלקוחות.
חברת האבטחה Huntress חשפה ב-22 באוקטובר קמפיין token replay, שבו תוקף נכנס לחשבונות Microsoft 365 ב-79 ארגונים בלי לנחש סיסמה אחת. במקום זה, הוא גנב את אסימוני ההתחברות של הקורבנות והשתמש בהם מחדש. כך הוא עקף גם אימות דו-שלבי (MFA). הקמפיין נמשך מ-14 ביולי ועד 22 בספטמבר.
לפי הדוח של Huntress, החברה תיעדה לפחות 497 כניסות מוצלחות. היא קישרה לקמפיין גם מעל 200 אלף ניסיונות כניסה שנכשלו. השימוש באסימונים הגיע מטווח כתובות של חברת אחסון גרמנית. Huntress לא קשרה את הקמפיין לקבוצה מוכרת.
איך עובדת מתקפת token replay
כשאתם נכנסים ל-Microsoft 365 ומאשרים את ה-MFA, השרת נותן לדפדפן אסימון (token). זה מעין כרטיס כניסה זמני. מי שמחזיק בכרטיס לא צריך סיסמה ולא צריך את הטלפון שלכם. token replay פירושו לגנוב את הכרטיס הזה ולהשתמש בו ממחשב אחר.
לפי Huntress, התוקף השיג את האסימונים בכמה דרכים. הדרך העיקרית הייתה דפי כניסה מתווכים (AiTM). דף כזה יושב בין הקורבן לבין דף הכניסה האמיתי של Microsoft. הוא מעביר את בקשת ה-MFA ושומר לעצמו את האסימון. דרך נוספת הייתה פישינג בקוד מכשיר (device code), שבו הקורבן מזין קוד באתר האמיתי של Microsoft ומאשר בלי לדעת את התוקף.
השימוש החוזר הגיע מהר מאוד. במקרה מ-21 ביולי, התוקף השתמש באסימון כ-12 דקות אחרי שהקורבן הגיע לשלב ה-MFA. במקרה מ-22 בספטמבר, הפער היה ארבע דקות.
איך התוקף נשאר בפנים גם אחרי החלפת סיסמה
אחרי הכניסה, התוקף רשם אפליקציית אימות משלו, עם התווית iPhone 13. ב-19 ארגונים הוא מחק את אמצעי ה-MFA הקיימים והחליף אותם, תוך שלוש שעות מהכניסה הראשונה. החלפת סיסמה לא מבטלת גישה כזו.
הוא גם רשם ב-Entra לפחות 48 מכשירים מזויפים, עם שמות בתבנית DESKTOP ושמונה תווים. בנוסף, הוא יצר כללי דואר נסתרים עם שמות קצרים או סימני פיסוק בלבד. הכללים העבירו או מחקו מיילים, לעיתים לתיקיות כמו RSS Feeds. במקרה אחד מספטמבר, התוקף שלח מייל בנושא שכר לרואה חשבון חיצוני, והסתיר את התשובות בעזרת כלל.
זה בדיוק התרחיש שמוביל להונאות העברה בנקאית. תוקף שיושב בתיבת הדואר של מנהל הכספים רואה חשבוניות, ספקים ותאריכי תשלום. אחר כך הוא יכול לבקש ״עדכון פרטי חשבון בנק״ מתוך השרשור האמיתי.
Huntress מסכמת בפשטות: ״אפשר למנוע מתקפות token replay בעזרת מדיניות Conditional Access שמוגדרת נכון״. החברה ממליצה לדרוש MFA, או לחסום, לכל המשתמשים, בכל אפליקציות הענן ובכל סוגי הלקוחות, בלי חריגים. לפי Help Net Security, כתובת אחת של התוקף נחסמה 1,052 פעמים. כל החסימות האלה היו בארבעה ארגונים שהפעילו Conditional Access.
מה זה אומר עבורכם
- Conditional Access בלי חריגים: בדקו שהמדיניות דורשת MFA מכל המשתמשים ובכל סוגי הלקוחות. בדקו גם אם הרישיון שלכם כולל את היכולת הזו.
- חסמו את זרימת קוד המכשיר: אם אין לכם צורך בה, הגבילו את device code flow במדיניות של סוגי האימות.
- אחרי פריצה, לא רק סיסמה: בטלו את כל ההפעלות הפעילות והחליפו סיסמה. אחר כך מחקו מכשירים ואמצעי MFA שהתוקף רשם.
- חפשו את הסימנים: מכשירים חדשים בשם DESKTOP- מכתובות של חברות אחסון. אמצעי MFA שמישהו מחק ורשם מחדש בתוך דקות. וכללי דואר עם שמות מוזרים.
- הגבילו הרשאות לאפליקציות: בטלו את האפשרות של משתמשים רגילים לאשר לבד אפליקציות חיצוניות, ובדקו את האפליקציות שכבר קיבלו גישה.
מקורות והרחבה
- M365 Token Spray and Replay Campaign Compromises Business Email AccountsHuntress
- Microsoft 365 accounts compromised at 79 organizations, no passwords neededHelp Net Security
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
