В августе 2026 года компания Huntress выявила новую кампанию, построенную на фишинговом наборе Knight Office. Жертва получает письмо в стиле DocuSign, переходит по ссылке и после завершения многофакторной аутентификации (MFA) неосознанно передаёт злоумышленникам ключи доступа к своим учётным записям Microsoft. Такой подход позволяет обойти пароль и дополнительную проверку, поскольку атакующие действуют от имени уже авторизованного пользователя.
Описание
Инцидент, который привёл к обнаружению набора, начался со стандартного приглашения поставить подпись. Письмо содержало ссылку, ведущую через платформу для управления проектами Monday и взломанный сайт на системе управления контентом Joomla. Такая многоступенчатая маршрутизация скрывает конечную фишинговую страницу от репутационных фильтров и аналитиков, проверяющих письмо. После серии перенаправлений пользователь попадал на страницу, имитирующую интерфейс Microsoft SharePoint или Teams, где ему предлагали скачать документ или прослушать голосовое сообщение. Далее жертву просили скопировать девятизначный код проверки, перейти на настоящий экран входа Microsoft и ввести свои учётные данные, включая подтверждение входа через MFA. На этом этапе перехватывались сеансовые токены - цифровые ключи, которые позволяют сервису не спрашивать пароль при каждом действии.
Как отмечают аналитики Huntress, внутри консоли Knight Office собраны инструменты для управления перехваченными сеансами в едином окне. Интерфейс позволяет отслеживать активные сеансы жертв в режиме реального времени, просматривать собранные пароли и выгружать украденные данные. Хотя сама консоль выглядит просто, она служит лишь видимой частью атаки. По данным телеметрии, за две недели с этим набором оказались связаны как минимум девять случаев повторного использования украденных токенов для входа в учётные записи. Помимо этого, с апреля зафиксировано несколько сотен сообщений с одинаковым шаблоном письма, которые пользователи отправляли через платформу обучения безопасности Huntress.
Механика атаки отличается от классического фишинга тем, что злоумышленники не взламывают пароль и не пытаются обойти MFA перебором. Вместо этого между жертвой и настоящим сервисом выстраивается промежуточный сервер. Когда человек завершает вход и подтверждает его через приложение-аутентификатор, код подтверждения и сеансовый токен перехватываются в реальном времени. Полученный токен сразу же передаётся оператору набора. Для пользователя всё выглядит обычно, но фактически он выдаёт доступ к своей учётной записи. Именно поэтому подобные схемы становятся всё более популярными среди киберпреступников: вместо сложной работы с паролями они получают уже готовую аутентифицированную сессию.
В расследованном случае злоумышленники не остановились на краже токена. После получения доступа они зарегистрировали в корпоративной системе Microsoft Entra ID собственное устройство и привязали к учётной записи ключ Windows Hello for Business - функцию входа без пароля. Благодаря этому они получили возможность возвращаться в систему даже после того, как первоначальные токены были бы аннулированы. По сути, атакующие создали для себя отдельный вход, который не зависит от украденного ранее ключа. Такое закрепление в системе сложно заметить при стандартной проверке логов, поскольку не было ни одной неудачной попытки подбора пароля, а отказы при входе возникали лишь из-за неверных технических параметров устройства.
Эксперты советуют обращать внимание не только на неудачные попытки входа, но и на успешные аутентификации после MFA, которые происходят с необычных устройств или через серверы, выступающие посредниками. Компаниям стоит регулярно проверять список новых устройств, подключённых к Microsoft Entra ID, и обращать внимание на появление неизвестных методов входа, таких как ключи Windows Hello for Business. Удаление несанкционированных способов аутентификации и отключение подозрительных учётных записей, синхронизированных с локальными системами, помогает прервать доступ атакующих.
Популярность таких наборов, как Knight Office, а также схожих сервисов показывает смещение фокуса с кражи паролей на хищение токенов. Защита на основе одного лишь пароля и даже MFA перестаёт быть достаточной. Безопасность требует мониторинга поведения сеансов, контроля за регистрацией новых устройств и быстрой реакции на подозрительные входы. Именно эти меры позволяют заметить атаку до того, как злоумышленник успеет закрепиться в системе и получить полноценный доступ к данным организации.
Индикаторы компрометации
