Исследовательская группа по угрозам компании Red Canary зафиксировала тревожную тенденцию роста атак, основанных на эксплуатации протокола OAuth. Особую опасность представляет сценарий, реализованный в среде Entra ID (платформы управления идентификацией и доступом от Microsoft). В рамках этой атаки злоумышленники использовали легитимное приложение ChatGPT для получения несанкционированного доступа к почтовым ящикам пользователей через манипуляцию с согласием на предоставление OAuth-разрешений. Этот инцидент в очередной раз подчеркивает критическую важность строгого управления процессом предоставления прав сторонним приложениям и сопутствующие риски чрезмерного делегирования доступа к корпоративным данным.
Описание
Атака начинается с того, что сотрудник организации добавляет сервисный субъект (service principal) ChatGPT в свой тенант Entra ID и дает согласие на набор OAuth-разрешений. Ключевыми из них являются "Mail.Read" (чтение почты), "offline_access" (длительный доступ с обновлением токенов), "profile" и "openid". Процесс инициируется через официальное приложение OpenAI, которое воспринимается жертвой как доверенный сервис. Однако в данном случае его механизмы были злонамеренно использованы атакующим. Предоставив разрешения, пользователь неосознанно открывает злоумышленнику доступ к конфиденциальной переписке. Основной риск сконцентрирован именно в разрешении на чтение почты ("Mail.Read") - это область (scope), которую злоумышленники часто эксплуатируют для хищения данных.
Расследование подобных инцидентов требует тщательного анализа журналов и корреляции событий, с особым вниманием к добавленным сервисным субъектам и конкретным выданным OAuth-разрешениям. Механика атаки разворачивается по четкому сценарию. На первом этапе, путем социальной инженерии, злоумышленник склоняет целевого пользователя к предоставлению приложению ChatGPT критических разрешений, маскируя его под легитимный инструмент. После получения согласия атакующий немедленно получает доступ к почтовому ящику жертвы.
Для обнаружения таких действий crucial являются данные журналов, в частности события "AuditLogs" и "Consent to application". Эти логи фиксируют момент предоставления разрешений приложению ChatGPT, точный список согласованных OAuth-скопов (включая "Mail.Read"), а также IP-адрес, с которого было выполнено действие, что может указывать на удаленный доступ злоумышленника. Параллельный мониторинг поведения приложения, например, телеметрический анализ от Red Canary, позволяет отслеживать коммуникацию между системой жертвы и инфраструктурой, контролируемой атакующим. Это помогает коррелировать события и выявлять подозрительную активность, такую как неожиданные запросы на доступ или попытки установления соединений.
Финальной стадией является эксфильтрация данных. Обладая необходимыми разрешениями, злоумышленник получает возможность читать, а затем и выгружать конфиденциальную почтовую переписку на контролируемую им инфраструктуру для последующего использования в противоправных целях. Атаки на основе OAuth с использованием таких приложений, как ChatGPT, представляют собой растущую угрозу для организаций, особенно когда сотрудники становятся мишенью и принуждаются к предоставлению несанкционированных прав.
Для эффективного противодействия таким угрозам организациям необходимо усилить мониторинг и ужесточить политики управления согласием (consent policies). Ключевые меры защиты включают в себя регулярный аудит выданных OAuth-разрешений сторонним приложениям с немедленным отзывом избыточных или подозрительных прав. Кроме того, критически важно внедрить систему утверждения (approval workflow) для предоставления разрешений высокого уровня риска, таких как доступ к почте или документам. Обучение сотрудников рискам, связанным с авторизацией незнакомых или излишне требовательных приложений, также является обязательной частью стратегии безопасности. Комбинация технического контроля и повышения осведомленности пользователей позволяет значительно снизить ущерб от несанкционированного доступа к данным в подобных сложных атаках.
Индикаторы компрометации
IPv4
- 3.89.177.26
App ID
- e0476654-c1d5-430b-ab80-70cbd947616a
