Набор для фишинга Mirage2FA обходит двухфакторную защиту и похищает сессии Microsoft 365

Масштаб кампании за два с половиной года значителен. По оценкам специалистов, вредоносная инфраструктура Mirage2FA была связана с 3 518 уникальными корпоративными доменами электронной почты. Из 9 426 адресов, на которые велась атака, около 4 532 адресов могли быть скомпрометированы - это примерно 48%. Всего зафиксировано более 9 300 потенциальных инцидентов, включая кражу сессионных файлов (куки), паролей и одноразовых кодов. При этом операторы сервиса постоянно меняют домены и используют несколько уровней скрытия, что затрудняет блокировку по статическим спискам угроз.

По данным ANY.RUN, основная часть жертв находится в США - 2 885 человек, или 63,7% от общего числа. Активность также зафиксирована в Индии, Сингапуре, Великобритании, Канаде, Саудовской Аравии и ЮАР, всего следы атак отмечены в 94 странах. Чаще всего страдают компании из сферы технологий (19,2%), производства (11,1%) и образования (9,9%). Эти отрасли активно используют Microsoft 365 в повседневной работе, поэтому утечка одной учётной записи может открыть доступ к переписке с клиентами, внутренним документам, облачным приложениям и финансовым сервисам. В зоне риска также консалтинговые компании, операторы связи и медицинские организации.

Механика атаки выглядит следующим образом. Пользователь получает фишинговое письмо с вложением, содержащим веб-сценарий, либо ссылку с QR-кодом. Открытие такого файла запускает выполнение кода в браузере, после чего жертву незаметно перенаправляют на поддельную страницу входа Microsoft 365. Введённые логин, пароль и одноразовый код перехватываются и в реальном времени передаются на настоящий сервис Microsoft через промежуточный канал. Когда компания подтверждает подлинность данных, злоумышленник получает действующую сессию (куки). С её помощью можно заходить в чужой аккаунт без ввода пароля и повторного прохождения двухфакторной проверки.

Именно кража активной сессии становится главной целью Mirage2FA. По данным аналитиков, на неё приходится более половины всех зафиксированных случаев - 4 561 событие. Ещё 3 044 инцидента связаны с перехватом паролей и одноразовых кодов, а 1 339 - с входом через системы единой аутентификации (SSO, когда один набор учётных данных открывает доступ к нескольким сервисам). Это особенно опасно для компаний, где корпоративные приложения подключены к единой точке входа: один украденный аккаунт может открыть сразу несколько систем.

Традиционная двухфакторная защита в этой схеме малоэффективна. Пользователь действительно вводит корректный код из сообщения или приложения, однако мошенники используют его мгновенно, одновременно входя в аккаунт. Жертва может даже не заметить, что страница входа была поддельной, поскольку внешне она полностью повторяет дизайн Microsoft. Дополнительную сложность создаёт то, что треть успешных входов (33,3%) совершается с мобильных устройств, где проверка адресной строки менее удобна и риск перехода по мошеннической ссылке выше.

Примечательно, что Mirage2FA обходится без классических вредоносных программ. Атака целиком происходит внутри браузера: злоумышленники используют веб-документы со скрытыми переадресующими сценариями, а также QR-коды для доставки ссылок. Массовые рассылки проводятся в том числе через облачный сервис Amazon SES, что позволяет охватить тысячи организаций без создания собственной инфраструктуры для отправки писем.

Мошенники постоянно совершенствуют платформу. С 2024 года они меняли способы маскировки вложений: от простых страниц до полностью запутанного кода, который расшифровывается в браузере жертвы. Исследователи связывают активность с оператором LinX Coders, чьи характерные служебные пометки неоднократно встречались в коде вложений. Несмотря на частую смену серверов и доменов, специалистам пока удаётся выделять устойчивые признаки атаки, которые помогают выявлять угрозу в почтовых и сетевых журналах.

Последствия взлома для бизнеса сложнее, чем при обычной краже пароля. Получив доступ к чужой сессии Microsoft 365, злоумышленник может читать корпоративную почту, менять правила пересылки, выдавать себя за сотрудника, связываться с клиентами и поставщиками, а также перемещаться по подключённым облачным сервисам. Финансовый ущерб возможен как от прямого мошенничества, так и от репутационных потерь. Восстановление требует отзыва всех активных сессий, проверки доступов сторонних приложений и аудита совершённых действий, что занимает значительно больше времени, чем стандартная смена пароля.

Для снижения рисков компаниям стоит переводить привилегированных пользователей - руководителей, сотрудников финансовых отделов и администраторов - на устойчивую к фишингу аутентификацию, например аппаратные ключи. Дополнительно рекомендуется сокращать время жизни сессий и ограничивать доступ облачных приложений к корпоративным данным. Службам безопасности следует обращать внимание на необычные веб-вложения в письмах, проверять их в изолированной среде и отслеживать подозрительные подключения сразу после перехода пользователя по ссылке. Чем быстрее удастся обнаружить перехват сессии и отозвать украденный доступ, тем меньше у мошенников возможностей превратить один скомпрометированный аккаунт в масштабный инцидент.