Huntress описала серию входов в Microsoft 365, при которых злоумышленник не подбирал пароли, а воспроизводил перехваченные сессии. За десять недель, с 14 июля по 22 сентября 2026 года, компания зафиксировала 497 успешных входов в 79 организациях. Ещё более 200 тысяч попыток входа в те же среды закончились неудачей. Все успешные события вели к учётным записям, из которых доступны почта и другие облачные сервисы Microsoft.
Описание
Схема опирается на атаку "человек посередине" (adversary-in-the-middle, AiTM). По данным Huntress, промежуточный узел передаёт жертве настоящую страницу входа и запрос многофакторной аутентификации, а выданный после проверки токен оставляет себе. Токен здесь - маркер сессии, который Microsoft выдаёт уже после второй проверки. Дальше этот маркер воспроизводили с чужих машин, поэтому повторно проходить аутентификацию не требовалось.
Перехваченные сессии воспроизводили с небольшого пула адресов, принадлежащего немецкому хостинг-провайдеру 1337 Services GmbH из Гамбурга. За десять недель оператор сменил шесть адресов из одного пула, по одному на этап активности. Microsoft независимо отмечала четыре из них как связанные с известными ей преступными группами. Провайдер сдаёт адреса в аренду легально, и такой способ размещения вредоносного трафика называют "bring your own IP" - собственный пул адресов у арендатора.
После входа активность шла в каталоге Entra и в почте. Злоумышленник зарегистрировал не менее 48 поддельных компьютеров в каталогах пострадавших организаций; имена строились по шаблону DESKTOP- плюс восемь шестнадцатеричных символов, тогда как Windows по умолчанию добавляет к этому префиксу семь символов. В 19 организациях прежние методы многофакторной аутентификации стёрли, а в течение трёх часов после первого входа добавили новый - приложение-аутентификатор с подписью "iPhone 13". Сброс пароля сам по себе такие методы не удаляет.
Почтовые правила создавали отдельно, и ни одно из них не появилось с адресов 1337 Services: каждое пришло через VPN или арендованный хост. Имена правил состояли из одного-трёх символов или из знаков препинания. Часть правил помечала входящие прочитанными и удаляла их, часть переносила письма в папки RSS-подписок и журнала беседы. В четырёх ящиках правила создавались через программный интерфейс Outlook, а не через сам клиент. В одной организации с ящика ушло письмо внешнему бухгалтеру на тему расчёта зарплаты, а перед этим появилось правило, отбиравшее письма со словами о зарплате, прямом переводе, банке и премии.
Два набора инструментов
Узлы воспроизведения делились на две группы. Первая работала программно, с минимальным заголовком клиента node, и обращалась к Microsoft Graph, Exchange Online, SharePoint Online и службе регистрации устройств. Вторая воспроизводила браузерные сессии с обычными заголовками Chrome и Edge и целилась в OfficeHome и Exchange Online; поддельные устройства в каталоге после таких входов не появлялись. На втором этапе к этому добавился фишинг с кодом устройства: жертву убеждали ввести код на настоящей странице Microsoft, и она сама выдавала оператору действующий маркер.
Политики условного доступа отсекали часть попыток, но неравномерно. На этапе 11 сентября с одного адреса прошли 303 успешных входа в 29 организациях, а 1052 попытки были заблокированы. Все блокировки пришлись на четыре организации, и ни одна из них не совпала с теми 29. Иными словами, больше всего отказов получили среды, где защита уже работала, а в остальных вход проходил без препятствий.
Не всё в этой картине установлено. Huntress наблюдала только среды своих клиентов, поэтому 79 организаций не дают общей картины распространения. Причина, по которой оператор менял адреса, не выяснена: эффект от смены понятен, мотив нет. Связь промежуточных узлов у других провайдеров с тем же оператором не подтверждена, совпадало лишь время между перехватом сессии и её воспроизведением. Шаблон имени устройств редкий, но не уникальный, а часть легитимной автоматизации даёт похожие входы, так что сами по себе такие записи кампанию не выделяют.
Индикаторы компрометации
