Корпоративные пользователи Microsoft 365 столкнулись с новой угрозой, которая обходит традиционные методы защиты от фишинга. Злоумышленники не пытаются украсть пароли с помощью поддельной страницы входа. Вместо этого они заставляют жертву самостоятельно пройти легитимную процедуру аутентификации Microsoft, авторизуя при этом устройство, контролируемое атакующими. Такой подход делает атаку крайне убедительной и сложной для распознавания даже опытными сотрудниками.
Описание
В основе схемы лежит стандартный протокол OAuth 2.0 Device Authorization Grant (механизм авторизации устройств, которые не могут выполнить полноценный веб-вход). Обычно этот протокол используется для подключения к учётной записи принтеров, смарт-телевизоров или консольных утилит. Но в данном случае злоумышленники применяют его для захвата аккаунта корпоративного пользователя. Жертве предлагают скопировать код с фишинговой страницы и ввести его в настоящем окне входа Microsoft. Ничего не подозревая, человек предоставляет доступ к своей учётной записи именно тому устройству, которым управляет злоумышленник.
Механизм атаки был подробно изучен экспертами по информационной безопасности. Они [обнаружили] активную кампанию, нацеленную на сотрудников крупных организаций. Первичное письмо выглядит как уведомление от поставщика об утверждении сметы. Внутри письма содержится HTML-вложение, которое через ссылку Content ID отображает встроенное изображение. Вся картинка является кликабельной - при нажатии жертва попадает на фишинговую страницу, стилизованную под интерфейсы ClickFix. На этой странице предлагается нажать кнопку "Review Document", после чего появляется код проверки. Пользователя просят скопировать его в буфер обмена и перейти по ссылке для входа в учётную запись Microsoft.
После нажатия открывается реальное окно входа Microsoft. Это не подделка - это действительно часть официального потока аутентификации. В окне запрашивается ввод кода. Если жертва вставляет скопированный код, система переходит к запросу имени пользователя. О том, что происходит нестандартная процедура, может свидетельствовать лишь текст "Microsoft Authentication Broker" и упоминание "другого устройства". Однако в суете рабочего дня большинство пользователей не обращают на это внимания.
Анализ исходного кода фишинговой страницы показал применение продвинутых методов обороны. В ключевые слова, которые обычно служат индикаторами для антифишинговых фильтров (такие как "Agreement", "Verify", "Microsoft"), вставлены невидимые Unicode-символы - символы нулевой ширины, соединители и разделители. Сами по себе эти символы используются в легальных целях, но их массовое присутствие на одной странице является аномалией и помогает в создании YARA-правил для детектирования подобных страниц.
Открытие реального окна аутентификации инициируется скриптом, который вызывает window.open() с адресом aka.ms/devicelogin. Это сокращённая ссылка, размещённая на инфраструктуре Akamai. Она является полностью легитимной точкой входа для устройств. Далее на сервер фишингового набора каждые четыре секунды отправляется POST-запрос, содержащий код устройства. Этот код закодирован в URL-safe base64 и используется для координации между действиями жертвы и бэкендом атакующих. Внутри кода скрыт артефакт от службы токенов безопасности Microsoft Entra ID - бит-сдвинутая строка ASCII. Её можно восстановить, сдвинув байты влево на шесть бит. Такая комбинация (бит-сдвиг и base64) позволяет создать точный YARA-детектор с минимальным уровнем ложных срабатываний.
Сетевая активность атаки делится на три кластера. Первый - посещение фишинговой страницы и открытие окна входа Microsoft (последовательность разрешений имён: страница фишинга, aka.ms, login.microsoftonline.com, aadcdn.msftauth.net, login.live.com). Второй кластер - ввод кода и вторая фаза аутентификации (login.microsoftonline.com, aadcdn.msftauth.net, login.microsoftonline.com, browser.events.data.microsoft.com, login.live.com). Третий кластер - регулярные POST-запросы каждые четыре секунды после завершения первого этапа. Сама по себе аутентификация Microsoft не является подозрительной, но её сочетание с периодическим бикон-трафиком с одного и того же конечного устройства указывает на аномалию и требует проверки.
Данная кампания демонстрирует рост угроз, связанных с фишингом через код устройства. Легитимная инфраструктура Microsoft делает атаку практически неотличимой от обычного входа. Организациям настоятельно рекомендуется информировать сотрудников о признаках такого рода запросов, особенно о том, что запрос на ввод кода для авторизации устройства не должен происходить в ответ на непрошенное письмо. Следует также настроить мониторинг журналов Entra ID на предмет использования потока авторизации устройства и внедрить детекторы на основе индикаторов, описанных в исходном отчёте - как для файловых артефактов, так и для характерной сетевой последовательности. Только сочетание обучения персонала и технических мер контроля способно снизить риск успешной реализации подобных атак.
Индикаторы компрометации
YARA
