Корпоративные пользователи Microsoft 365 столкнулись с новой угрозой, которая обходит традиционные методы защиты от фишинга. Злоумышленники не пытаются украсть пароли с помощью поддельной страницы входа. Вместо этого они заставляют жертву самостоятельно пройти легитимную процедуру аутентификации Microsoft, авторизуя при этом устройство, контролируемое атакующими. Такой подход делает атаку крайне убедительной и сложной для распознавания даже опытными сотрудниками.
Описание
В основе схемы лежит стандартный протокол OAuth 2.0 Device Authorization Grant (механизм авторизации устройств, которые не могут выполнить полноценный веб-вход). Обычно этот протокол используется для подключения к учётной записи принтеров, смарт-телевизоров или консольных утилит. Но в данном случае злоумышленники применяют его для захвата аккаунта корпоративного пользователя. Жертве предлагают скопировать код с фишинговой страницы и ввести его в настоящем окне входа Microsoft. Ничего не подозревая, человек предоставляет доступ к своей учётной записи именно тому устройству, которым управляет злоумышленник.
Механизм атаки был подробно изучен экспертами по информационной безопасности. Они [обнаружили] активную кампанию, нацеленную на сотрудников крупных организаций. Первичное письмо выглядит как уведомление от поставщика об утверждении сметы. Внутри письма содержится HTML-вложение, которое через ссылку Content ID отображает встроенное изображение. Вся картинка является кликабельной - при нажатии жертва попадает на фишинговую страницу, стилизованную под интерфейсы ClickFix. На этой странице предлагается нажать кнопку "Review Document", после чего появляется код проверки. Пользователя просят скопировать его в буфер обмена и перейти по ссылке для входа в учётную запись Microsoft.
После нажатия открывается реальное окно входа Microsoft. Это не подделка - это действительно часть официального потока аутентификации. В окне запрашивается ввод кода. Если жертва вставляет скопированный код, система переходит к запросу имени пользователя. О том, что происходит нестандартная процедура, может свидетельствовать лишь текст "Microsoft Authentication Broker" и упоминание "другого устройства". Однако в суете рабочего дня большинство пользователей не обращают на это внимания.
Анализ исходного кода фишинговой страницы показал применение продвинутых методов обороны. В ключевые слова, которые обычно служат индикаторами для антифишинговых фильтров (такие как "Agreement", "Verify", "Microsoft"), вставлены невидимые Unicode-символы - символы нулевой ширины, соединители и разделители. Сами по себе эти символы используются в легальных целях, но их массовое присутствие на одной странице является аномалией и помогает в создании YARA-правил для детектирования подобных страниц.
Открытие реального окна аутентификации инициируется скриптом, который вызывает window.open() с адресом aka.ms/devicelogin. Это сокращённая ссылка, размещённая на инфраструктуре Akamai. Она является полностью легитимной точкой входа для устройств. Далее на сервер фишингового набора каждые четыре секунды отправляется POST-запрос, содержащий код устройства. Этот код закодирован в URL-safe base64 и используется для координации между действиями жертвы и бэкендом атакующих. Внутри кода скрыт артефакт от службы токенов безопасности Microsoft Entra ID - бит-сдвинутая строка ASCII. Её можно восстановить, сдвинув байты влево на шесть бит. Такая комбинация (бит-сдвиг и base64) позволяет создать точный YARA-детектор с минимальным уровнем ложных срабатываний.
Сетевая активность атаки делится на три кластера. Первый - посещение фишинговой страницы и открытие окна входа Microsoft (последовательность разрешений имён: страница фишинга, aka.ms, login.microsoftonline.com, aadcdn.msftauth.net, login.live.com). Второй кластер - ввод кода и вторая фаза аутентификации (login.microsoftonline.com, aadcdn.msftauth.net, login.microsoftonline.com, browser.events.data.microsoft.com, login.live.com). Третий кластер - регулярные POST-запросы каждые четыре секунды после завершения первого этапа. Сама по себе аутентификация Microsoft не является подозрительной, но её сочетание с периодическим бикон-трафиком с одного и того же конечного устройства указывает на аномалию и требует проверки.
Данная кампания демонстрирует рост угроз, связанных с фишингом через код устройства. Легитимная инфраструктура Microsoft делает атаку практически неотличимой от обычного входа. Организациям настоятельно рекомендуется информировать сотрудников о признаках такого рода запросов, особенно о том, что запрос на ввод кода для авторизации устройства не должен происходить в ответ на непрошенное письмо. Следует также настроить мониторинг журналов Entra ID на предмет использования потока авторизации устройства и внедрить детекторы на основе индикаторов, описанных в исходном отчёте - как для файловых артефактов, так и для характерной сетевой последовательности. Только сочетание обучения персонала и технических мер контроля способно снизить риск успешной реализации подобных атак.
Индикаторы компрометации
URLs
- http://ajz-gud.lisa-g-h-rn.workers.dev/
- http://baquelite.ventoraco.com/doc98374/
- http://biotechgroup.p-oye8mc0f.workers.dev/
- http://bradhallfuel.p-oye8mc0f.workers.dev/
- http://corpexl.nl/mq5qh1xj9/
- http://corpexl.nl/oii/
- http://corpexl.nl/projectorder/
- http://creditora.me.uk/HPDGassocies
- http://dentalstrategies.noventragroup.app/dntrategie/
- http://docxfile-share.itkljpqn.workers.dev/
- http://docxfiletxz-share.itkljpqn.workers.dev/
- http://dqky7un.certaint.it.com/xiktuemf/
- http://gsbauwu1hsa.legalaro.com/nmasn/
- http://henriquevieira.horizoralabs.com/doc49390239/
- http://horizonex.it.com/confidentialrecord/
- http://horizonex.it.com/securedocument
- http://hsecontractors-project.sign-ins.workers.dev/
- http://logvault.us/jfkydg4of/
- http://mcagroup.horizoralabs.com/quote937847/
- http://meeting.corpsfileshare.com/quarterly/
- http://metroraco.com/GroupeBergeron/
- http://metroraco.com/Vent/
- http://microsoft-document.adhere.it.com/Adobe-pdf/
- http://molinomerano.brieflync.nl/order9283/
- http://mysharereport.wgmilshyvn.workers.dev/
- http://onedrive-document.adhere.it.com/sharedproject/
- http://osoxsl.taskvault.nl/binsfe
- http://retroactive.scalevantaco.com/adjustments
- http://review.wgmilshyvn.workers.dev/
- http://sales.p-ct5v25xo.workers.dev/
- http://samoen.logvault.us/engineering
- http://sparkaxis.org/deployment/
- http://tsk1.t31208026.workers.dev/
- http://uboralmaxillofacialsurgery.noventragroup.app/uboralxillofialsurgery/
- http://uegreil.taskvault.nl/itiwa2
- http://v379ge.meetrova.nl/p9mxbmz2x/
- http://wpdoi8w.elevatecore.it.com/g4jlitpi/
- http://wylderhotels.sparkaxis.org/personaljflannigan/
- http://zktxnxlh.stratavaco.com/snzv8wq
- https://1000bulbs.bluevexworks.de/quotes9383/
- https://749489330y.growthora.app/ndyd9002ew/
- https://accounting.wgmilshyvn.workers.dev/
- https://acitransport.trenix.nl/doc3928480293902/
- https://adhere.it.com/verify/
- https://aeselectric.horizoralabs.com/quote03942/
- https://afrgroup.brieflync.nl/ss20u0uv4x/
- https://agreement.primeforgeco.org/document/
- https://ajz-gud.lisa-g-h-rn.workers.dev/
- https://alliedmodular.p-oye8mc0f.workers.dev/
- https://alpion.lisa-g-h-rn.workers.dev/
- https://am3e3x1l9.darnel.nl/hk5uvw6rp/
- https://amczkkl.darnel.nl/t6f8wvaw/
- https://anchorly.it.com/File/
- https://anchorly.it.com/projectbrief/
- https://apexviaco.com/code/
- https://approvals.rapidoraco.com/final-reports/
- https://ascory.ventoraco.com/doc98983/
- https://asprey.primeforgeco.org/document/
- https://at3hsd2.logvault.us/vnae045/
- https://avriaone.com/doc063482/
- https://baquelite.ventoraco.com/doc98374/
- https://batch.rapidoraco.com/approved/
- https://bb9vl9e.scalorapro.org/xw2p8cy5/
- https://bcadetrana.ventoraco.com/quote383/
- https://bianchiindustrial.horizoralabs.com/doc0394883/
- https://biotechgroup.p-oye8mc0f.workers.dev/
- https://bizfluent.it.com/code/
- https://bluevexworks.de/otadiving/
- https://bryruc.querybase.us/dvbyi5
- https://c0vvwvr.swiftoralabs.org/rd2w26/
- https://capital-call.scalevantaco.com/investors/
- https://caxama.ventoraco.com/Quote28482/
- https://chestervalve.horizoralabs.com/doc9374632/
- https://cncb.bluevexworks.de/docflle9353/
- https://combustiblesmurcianos.trenix.nl/doc3454656450023/
- https://cornstoncrew.com/kzqf53/
- https://corpexl.nl/INV/
- https://corpexl.nl/invoice/
- https://corpexl.nl/mq5qh1xj9/
- https://corpexl.nl/Paul/
- https://corpexl.nl/PO/
- https://corpexl.nl/Project/
- https://corpexl.nl/projectorder/
- https://corpexl.nl/Projects/
- https://corpexl.nl/quote/
- https://corpexl.nl/Ray/
- https://corpexl.nl/securee/
- https://corpexl.nl/Shipment/
- https://corpexl.nl/thelfgroup/
- https://covenant.it.com/BryanKunze/
- https://covenant.it.com/Hometownlend/
- https://covenant.it.com/LegerPalans
- https://covenant.it.com/Matthews/
- https://covenant.it.com/Outilshop
- https://covenant.it.com/Project/
- https://covenant.it.com/Texell/
- https://creditora.me.uk/ANWebber/
- https://creditora.me.uk/HPDGassocies
- https://creditora.me.uk/Leinhos/
- https://creditora.me.uk/NorthShore/
- https://creditora.me.uk/Rizzo/
- https://cstsoap.insightora.it.com/cstsoapppp/
- https://ctrk.klclick3.com/l/01KRH85AW5Q27X71GRZ7QGYYWD_2
- https://ctrk.klclick3.com/l/01KRJT31D5PV07Y81MJTYMY99K_2
- https://ctrk.klclick3.com/l/01KRNXXBA66DHQ4WVQ4DA3FMAR_0
- https://cu8hvx.taskvault.nl/eqtrqy0/
- https://cykbon.querybase.us/ollv19do
- https://d221bko.darnel.nl/qx87zbwp/
- https://d96iqilitaly.stratavaco.com/chp16jwitaly/
- https://dcpavingconcrete.p-oye8mc0f.workers.dev/
- https://dnn8homp.scalorapro.org/l2wkx2/
- https://documentations.apexarolabs.com/transfer/
- https://docusign-arizonacreativeevents.nextvexharbor.de/review/
- https://docusign-stlequityhomes.nextvexharbor.de/review/
- https://docxfile-share.itkljpqn.workers.dev/
- https://docxfiletxz-share.itkljpqn.workers.dev/
- https://dqky7un.certaint.it.com/xiktuemf/
- https://dy44y4e.ridgevale.com.de/m02c0czr/
- https://e4rykd3t1.darnel.nl/ubdxsaxb4/
- https://eajiuac3.insightora.it.com/ptw9aagd4/
- https://ecpsolutions.horizoralabs.com/quote93873/
- https://editoriale.brieflync.nl/ygezz6f/
- https://effepisrl.ventoraco.com/doc928482/
- https://enterpriseinv.wgmilshyvn.workers.dev/
- https://equipup.brieflync.nl/quote9384/
- https://excendio-advisors.corevantaco.com/due_/
- https://f5oxvi.swiftoralabs.org/adr9z1/
- https://farmhomehardware.insightora.it.com/farmhomehardwareeee/
- https://file-shareesp.itkljpqn.workers.dev/
- https://flammat.trenix.nl/doc21673893832083/
- https://follador.ventoraco.com/doc98384/
- https://fortknox.noventragroup.app/fortknoxxx/
- https://fotmhc85.darnel.nl/sshwd0o/
- https://frigosistema.ventoraco.com/doc98952/
- https://ftt5mojfz.darnel.nl/hqbxfm7ns/
- https://fugarproduzione.horizoralabs.com/ordini49833/
- https://futureanchor.it.com/Docusign/
- https://galaxymausa.trenix.nl/doc4356787867564534/
- https://ghh89e.querybase.us/tvvxbk/
- https://gil2znw7d.taskvault.nl/hpoocj/
- https://gilleman.brieflync.nl/flletw1234348832/
- https://gmmecnrj.darnel.nl/jryswhhue/
- https://gmosh.swmodyhj.workers.dev/
- https://graciousliving.insightora.it.com/graciousliving/
- https://grandfield.com.de/mpg10m8
- https://greatbarringtonagway.insightora.it.com/tbarrington/
- https://grouportiz.brieflync.nl/ewqxc0v9/
- https://growthora.app/doc/
- https://h7e9nmd8i.logvault.us/tcmvs1/
- https://h8uxo5c83h.darnel.nl/z864cvam/
- https://heeel1m3.darnel.nl/o1o3u06/
- https://henriquevieira.horizoralabs.com/doc49390239/
- https://hh-redstone.bizfluent.it.com/verify/
- https://hjc6x0.darnel.nl/o0vpv9i/
- https://hk1o2ouli.darnel.nl/if8cmdz0/
- https://hopajet.wgmilshyvn.workers.dev/
- https://horizonex.it.com/confidentialfile/
- https://horizonex.it.com/confidentialrecord/
- https://horizonex.it.com/securedocument/
- https://hpmy8n.stratavaco.com/wd0ijt6fk/
- https://hr-dept.woudplrnq.workers.dev/
- https://i7mxwon6.darnel.nl/a79in3e2/
- https://ibt-bau.corevantaco.com/BV-LIDL/
- https://ibwinspolicyrenewalquote-pay.p-oye8mc0f.workers.dev/
- https://icuebf.taskvault.nl/rb6vv6/
- https://ietz4jcu.pulseora.org/pny8xh04h1/
- https://ilossc.taskvault.nl/uncovqs/
- https://intercommerce.trenix.nl/file36738832032/
- https://isseks.swmodyhj.workers.dev/
- https://joebower.p-oye8mc0f.workers.dev/
- https://josb-axw.wblkerxgsvpt.workers.dev/
- https://journeyflight.wgmilshyvn.workers.dev/
- https://k4lx91xqm.darnel.nl/vwlhzy6k0/
- https://kao0wdk.darnel.nl/s3mezq80/
- https://kf6j4m4lmo.darnel.nl/p3pdggsk/
- https://kivroer.sa.com/ondrivedocx/
- https://kivroer.sa.com/vufpcncs7/
- https://knlooz.taskvault.nl/ifyabn/
- https://kpjcqbjy0.darnel.nl/m2235w85e/
- https://kuv7tz5.swiftoralabs.org/i224v8/
- https://kzmymvqrt.darnel.nl/xzi8ft/
- https://lhptmnd.taskvault.nl/auslic2/
- https://ll01inbce.darnel.nl/i5z8aiww/
- https://lm3ojeuam.darnel.nl/e0e78wgov/
- https://log.datavaner.us/ver/
- https://loganoralsurgery.noventragroup.app/loglsurge/
- https://login.growthora.app/document/
- https://mainosrl.horizoralabs.com/doc39847234/
- https://maristellasrl.horizoralabs.com/quote49484/
- https://mcq5hr.querybase.us/iih3ne/
- https://mecholding.ventoraco.com/quote9374/
- https://meeting.corpsfileshare.com/quarterly/
- https://metroraco.com/Desjardinsh/
- https://metroraco.com/Getpaq/
- https://metroraco.com/GroupeBergeron/
- https://metroraco.com/Immobilier/
- https://metroraco.com/InnovativePipeline/
- https://metroraco.com/LocHabitat/
- https://metroraco.com/MVFinances/
- https://metroraco.com/ServicesImmobiliers/
- https://metroraco.com/Vent/
- https://mgdofgs.certaint.it.com/bra3dmw2/
- https://microsoft-document.adhere.it.com/Adobe-pdf/
- https://miscongroup.brieflync.nl/h0vkr4/
- https://molinomerano.brieflync.nl/order9283/
- https://momentoraco.com/project-document/
- https://momentoraco.com/Project-submittal/
- https://mountainwater.brieflync.nl/pddfonline838kb/
- https://mueroll.trenix.nl/doc34536475654/
- https://mv431gg.darnel.nl/mcno48uig/
- https://mvunzr.taskvault.nl/qil8xe/
- https://myloginsharefile.wgmilshyvn.workers.dev/
- https://myshare-file.sharedfilescorps.com/finance/
- https://myshare-file.wgmilshyvn.workers.dev/
- https://mysharereport.wgmilshyvn.workers.dev/
- https://myshares.wgmilshyvn.workers.dev/
- https://my-team-share.corpsfileshare.com/team/
- https://n0o70p41.pulseora.org/wnrmxmlxs/
- https://n4mwsr9ra.darnel.nl/eza7m3u/
- https://nda2026.wgmilshyvn.workers.dev/
- https://nextaragroup.app/secured-file/
- https://nexttrail.co.nl/m365scoft/
- https://nexusbuildingservices-secure.corevantaco.com/cleaning_agreement-docusignsij3/
- https://nordicenergy.ventoraco.com/quote93347/
- https://np5m344s.darnel.nl/rximzp08m/
- https://nqaxcms.swiftoralabs.org/v1m1rmeo6n/
- https://nqk42um4g.darnel.nl/qqudu2im/
- https://nuevacocinamediterranea.trenix.nl/docsw123237832/
- https://o0abvu.taskvault.nl/ehcwokk/
- https://of27feemc.darnel.nl/srvpzo050/
- https://offmar-srl.couglesrecycilng.mom/doc34356732443/
- https://olfoods.brieflync.nl/order8374/
- https://ollmsf.taskvault.nl/sbncvn/
- https://onedrive-document.adhere.it.com/sharedproject/
- https://onedrive-encrypted.clearledge.me.uk/aar0cphl/
- https://onedrive-encrypted-online.clearledge.me.uk/avc8xt/
- https://onedrive-microsoft.adhere.it.com/securedocument/
- https://orx0yiy9ne.darnel.nl/axp6xhqfhq/
- https://osoxsl.taskvault.nl/binsfe/
- https://ovf2cs01c.darnel.nl/tm4j7ox4/
- https://oxuhis3a.darnel.nl/phefxufswo/
- https://p71dpmrgm9.darnel.nl/mxkqubsv/
- https://pasarltda.horizoralabs.com/qoute93848/
- https://patmorefeeds.horizoralabs.com/quote3484/
- https://pay-quickbooks.nextvexharbor.de/snlpainting/
- https://payroll.vardeno.nl/employee/
- https://pilous-hungary.trenix.nl/doc280129291021/
- https://plastiserd.trenix.nl/doc38974980131/
- https://premiersoundslighting.p-oye8mc0f.workers.dev/
- https://pw0m7y36.darnel.nl/mpmjcofsl8/
- https://pyh2dc7.bluevale.com.de/ljhxry/
- https://q13alc7.pulseora.org/lihgckb/
- https://q7lvq0.scalorapro.org/v5rxbxlp/
- https://qx70jdorb.swiftoralabs.org/hsk4w8g/
- https://rdingredients.ventoraco.com/doc93847/
- https://retroactive.scalevantaco.com/adjustments/
- https://rgfleg.scalorapro.org/qnuojch/
- https://ringcentral.firmtix.com/alert/
- https://ringcentral.firmtix.com/notify/
- https://riutyr.taskvault.nl/fteylv/
- https://rivoltini.brieflync.nl/project393/
- https://rocklandmfg.apexviaco.com/quotes/
- https://rtlequipment.primeforgeco.org/estimate/
- https://sales.p-ct5v25xo.workers.dev/
- https://samcagroup.horizoralabs.com/quote937847/
- https://samoen.logvault.us/engineering/
- https://samoengineering.lisa-g-h-rn.workers.dev/
- https://secure.firmtix.com/docx
- https://secured-doc-tnxv-iki.c-qar6y6n0.workers.dev/
- https://service-agreement.scalevantaco.com/sakr/
- https://settlement.wgmilshyvn.workers.dev/
- https://shared.firmtix.com/file/
- https://sherwin-williams.primeforgeco.org/document/
- https://sifem.wgmilshyvn.workers.dev/
- https://smsaustria.bluevexworks.de/pt3ijxjdk/
- https://soassociat.insightora.it.com/afac2turg/
- https://sparkaxis.org/delivery/
- https://sparkaxis.org/deployment/
- https://sparkaxis.org/statement/
- https://stanfordhomecenters.insightora.it.com/stanfodhomeenterssss/
- https://steeleinsurance.trenix.nl/docsjak23435657634231/
- https://stratifylabs.org/BDAGroup/
- https://stratifylabs.org/Estimation/
- https://stratifylabs.org/FACTURE/
- https://stratifylabs.org/PAIEMENT/
- https://t0nimub8.darnel.nl/t6xstea2/
- https://tabisam.trenix.nl/dcoc27892932309/
- https://taskvault.nl/ehcwokk/
- https://teams.vardeno.nl/fileshared/
- https://tentiger.ventoraco.com/doc9874/
- https://teolpack.trenix.nl/doc32430300/
- https://ticbxcu9.stratavaco.com/kv7z16o/
- https://tomyinternational.insightora.it.com/tomyrnation/
- https://trenix.nl/alma-resort/
- https://trenix.nl/comercialgarcia/
- https://tritontrading.ventoraco.com/doc98374/
- https://tutorvix.com/gerdaudesigns/
- https://twinresourc.noventragroup.app/xwpikd6mx/
- https://tytaninternational.bluevexworks.de/quote0838/
- https://uboralmaxillofacialsurgery.noventragroup.app/uboralxillofialsurgery/
- https://ucu1i7a.querybase.us/u1j3uy2/
- https://uegreil.taskvault.nl/itiwa2/
- https://ugygr1.taskvault.nl/ffifaxx/
- https://ulbbab.taskvault.nl/rry0hf/
- https://ultraliquor.logvault.us/z7hmpvt2/
- https://uqbjiyntt.darnel.nl/diqu96lx/
- https://uvmjey8.certaint.it.com/cxkgdbt/
- https://uwfnfzo.notivora.nl/y0m8d0t/
- https://v379ge.meetrova.nl/p9mxbmz2x/
- https://v6lpwmnzv.darnel.nl/zgm47h/
- https://vc5ew58.darnel.nl/k2ixxm1t/
- https://velopa.wgmilshyvn.workers.dev/
- https://verif.futureanchor.it.com/cloud/
- https://verification.futureanchor.it.com/cardcrosoft/
- https://vmservfill.nkydzvws.workers.dev/c3RlcGhlbi5waWNrZXJpbmdAbWwuY29t
- https://vrulcwr.querybase.us/s7rc2r/
- https://vs7on4a6.darnel.nl/bj3e4k5y/
- https://vxsjxxg.querybase.us/v8uu0o/
- https://w73uwqxw.darnel.nl/s264s0pnzt/
- https://wallgatorfarm.horizoralabs.com/Quote223/
- https://wb6a68h8.insightora.it.com/gag8mpw/
- https://wm4p2fk.querybase.us/effhtiy
- https://wxmiie.taskvault.nl/mawanrp/
- https://x63r61l.scalorapro.org/vr9qlv/
- https://x6pso57zci.darnel.nl/dz6ht7imm/
- https://xo0urs.taskvault.nl/vtsccx/
- https://xritech.trenix.nl/dooc37832383273282323/
- https://xrsj6nvg.vardeno.nl/egsui5z/
- https://xsm6xe2a.darnel.nl/pn5s0fyy/
- https://xuu6c9eb.querybase.us/mqqtyl
- https://xvoshorvm.scaleoraco.de/zmpps1/
- https://yhinu8kf.darnel.nl/kb04mw2l/
- https://yjsq348.scalorapro.org/ka9jxdpf/
- https://ytmr47m28.darnel.nl/bcnxab2c/
- https://zktxnxlh.stratavaco.com/snzv8wq/
- https://zrkz-grl.adintmvb.workers.dev/
- https://ztiwggeo8.ridgevale.com.de/v90hcnvff/
- https://zyvy741g.darnel.nl/lekw1buh/
YARA
| 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 | rule DeviceCode_Phishing_LandingPageHTML { meta: author = "Malware Utkonos" date = "2026-05-20" description = "Detects Device Code phishing kit landing page HTML." strings: $login_akam = "aka.ms/devicelogin" $login_msft = "microsoft.com/devicelogin" $login_mso1 = "login.microsoftonline.com/common/oauth2/deviceauth" $login_mso2 = "login.microsoftonline.com/common/oauth2/v2.0/deviceauth" $login_live = "login.live.com/oauth20_remoteconnect.srf" $login_link = "microsoft.com/link" $unicode_zws = { E2808B } $unicode_zwnj = { E2808C } $unicode_wj = { E281A0 } $dc = "\"dc=" $evosts = "\x15\x15\xd9\xbd\x4d\xd1\xcd\x05\xc9\xd1\xa5\x99\x85\x8d\xd1\xcc" base64("ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789-_") condition: any of ($login*) and any of ($unicode*) and $dc and $evosts and filesize < 1MB } |
