Компания CloudSEK сообщила об обнаружении масштабной кампании, нацеленной на пользователей Microsoft 365. Злоумышленники используют тактику "фишинга по запросу", собирая тысячи файлов cookie сессий. Эти данные могут быть использованы для взлома авторизованных сессий пользователей, даже после успешного прохождения многофакторной аутентификации.
Компания, специализирующаяся на кибербезопасности, обнаружила в июне операцию под кодовым названием "BigBear 2.0". Обнаружить эту активность удалось благодаря доступу к административной панели.
В ходе проведенного анализа было выявлено 5 137 записей, связанных с учетными данными, принадлежащими к 461 организации, зарегистрированных в более чем 40 странах. Кроме того, компания CloudSEK сообщила о захвате 4 148 файлов cookie сеанса и 1 032 паролей, оставленных в открытом виде. По данным фирмы, 474 из этих записей свидетельствуют об успешном доступе злоумышленников, которые смогли получить авторизованное сеансовое соединение, несмотря на использование многофакторной аутентификации.
BigBear 2.0 использует фреймворк Evilginx2, который устанавливает обратный прокси, контролируемый злоумышленником, между пользователем и аутентификационной системой Microsoft. Пользователь входит в систему через этот прокси, и проходит многофакторную аутентификацию, как обычно. После успешной аутентификации, Microsoft отправляет cookie сессии. Инфраструктура фишинга перехватывает эти cookie, что позволяет злоумышленнику повторно использовать сессию, минуя процесс аутентификации.
Также, в атаке используется ряд прокси-серверов, адаптированных для работы в домашних сетях. Выбор конкретных прокси-серверов осуществляется в зависимости от страны, где находится жертва. Это позволяет злоумышленникам создавать иллюзию географической согласованности трафика аутентификации, что может снизить эффективность проверок, основанных на местоположении, используемых в политиках Conditional Access. Компания CloudSEK отмечает, что подобная техника может ослабить защиту, основанную на географическом местоположении.
Исследователи также выявили специально созданный код, предназначенный для отключения аутентификации FIDO2/WebAuthn на фишинговых сайтах. Это может привести к тому, что пользователи будут перенаправлены на менее безопасные, но более уязвимые методы аутентификации.
Компания CloudSEK представила сервис BigBear 2.0 как многопользовательскую платформу, в которой, по их словам, участвует как минимум пять сторонних операторов. В ходе кампании было выявлено 42 виртуальных сервера (VPS), из которых 26 были удалены из панели управления с конца июля.
Компании, предоставляющие IT-услуги и занимающиеся управлением ИТ-инфраструктурой, составляют 151 из 279 организаций, выявленных компанией CloudSEK. Это означает, что данный сектор наиболее представлен в их базе данных. Такие компании могут представлять повышенный интерес для злоумышленников, поскольку сотрудники часто имеют доступ к конфиденциальным клиентским средам и административным системам.
Секреты сессий стали доступны широкому кругу пользователей
Ключевая особенность BigBear 2.0 заключается не только в возможности перехвата аутентифицированных сессий после многофакторной аутентификации, но и в том, как сервис объединяет техники, которые ранее использовались более опытными злоумышленниками, в удобную и масштабируемую систему, – заявил Keith Prabhu, основатель и генеральный директор Confidis.
Подход, лежащий в основе, не является принципиально новым, – отметил Akshat Tyagi, ведущий эксперт в области исследований в HFS Research. "BigBear 2.0 меняет ситуацию, делая эти методы доступными и масштабируемыми", – подчеркнул Tyagi. "Он объединяет такие техники, как фишинг с использованием AiTM, использование резидентных прокси и автоматическое воспроизведение cookie, в сервис, который снижает требования к квалификации для проведения подобных атак".
Это означает, что предприятия должны пересмотреть свою стратегию безопасности, – подчеркнул эксперт. Захваченная сессия может предоставить злоумышленнику доступ к Microsoft 365 без необходимости вводить пароль или проходить многофакторную аутентификацию.
Prabhu добавил, что успешная многофакторная аутентификация больше не должна рассматриваться как гарантия безопасности учетной записи или сессии. Cookie сессии и токены доступа и обновления следует рассматривать как ценные данные аутентификации, а не как технические артефакты, скрытые за паролем, – отметила Sakshi Grover, старший исследователь в области кибербезопасности в IDC Asia Pacific.
Она подчеркнула, что существует риск: во многих компаниях системы безопасности в первую очередь направлены на обнаружение кражи учетных данных, а не на предотвращение несанкционированного доступа к уже авторизованной сессии.
Фишинг-защищенная аутентификация становится ключевым требованием
По словам Тиаги, использование OTP (одноразовых паролей), SMS и аутентификации через push не следует рассматривать как надежную защиту от подобных атак. Злоумышленник может обмануть легитимного пользователя и заставить его завершить процесс аутентификации, после чего украсть полученные данные сессии.
Тиага рекомендовал компаниям внедрять методы аутентификации, устойчивые к фишингу, такие как FIDO2/WebAuthn, вместо того, чтобы просто предлагать их в дополнение к менее надежным альтернативам. Прабху отметил, что Windows Hello для бизнеса и аутентификация на основе сертификатов – это дополнительные варианты, но наиболее эффективной защитой является Conditional Access.
Гровер подчеркнул, что организации также должны использовать непрерывную оценку доступа и защиту токенов, если Microsoft 365 поддерживает эту функцию. Однако, он предостерег от того, чтобы рассматривать защиту токенов как универсальное решение, поскольку ее эффективность может варьироваться в зависимости от используемых платформ, клиентов и рабочих нагрузок.
Проблема также связана с организацией работы, – добавил Гровер. Инструменты управления идентификацией и доступом не всегда должным образом интегрированы с системами безопасности или SIEM (системами обнаружения и реагирования на инциденты), что приводит к тому, что потенциально полезные сигналы об идентификации остаются незамеченными аналитиками, отвечающими за обнаружение атак.
Сброс пароля – это не выход: эксперты предлагают более эффективные решения для защиты данных
Не стоит рассматривать это как обычный инцидент, связанный с кражей пароля. Скорее, это активное проникновение в систему», – заявил Прабху.
Он рекомендовал немедленно отключить или ограничить доступ к затронутому аккаунту, отозвать все активные сессии и токены в Entra, а также потребовать от пользователей повторной аутентификации. Специалисты по реагированию на инциденты должны тщательно изучить журналы Microsoft 365, обращая особое внимание на признаки несанкционированного доступа к почтовым ящикам, наличие вредоносных правил, необычные соглашения OAuth, недавно зарегистрированные устройства многофакторной аутентификации, изменения в правах доступа и доступ к другим облачным приложениям.
Тьяги предупредил, что определение географического местоположения IP-адреса может дать лишь ограниченную информацию в подобных расследованиях, поскольку злоумышленники могут использовать прокси-серверы для маскировки своих действий. Вместо этого, специалисты должны сосредоточиться на реконструкции событий, произошедших во время скомпрометированной сессии, – отметил он.
Кроме того, следователям необходимо выяснить, использовалась ли украденная сессия для связи с другими сотрудниками, клиентами или внешними контактами, – добавил Прабху.
Гровер подчеркнула, что организации должны также включать в свои учения сценарий, предусматривающий перехват сеанса, чтобы оценить, как команды, отвечающие за идентификацию, безопасность, обмен сообщениями и облачные сервисы, будут координировать свои действия в случае компрометации аутентифицированного сеанса. Такие учения могут выявить недостатки, которые не проявляются в симуляциях, ориентированных на традиционное кража учетных данных или использование программ-вымогателей, – пояснила она.
Статья изначально была опубликована на портале CSO.