Изследователи от Datadog Security Labs предупреждават за нов фишинг метод, наречен CoPhish, който използва легитимната инфраструктура на Microsoft Copilot Studio за доставяне на измамни OAuth заявки. Техниката позволява на атакуващите да се възползват от доверието в домейни на Microsoft и да източват достъпни токени от администратори и потребители, без да предизвикват подозрение.

Microsoft потвърди, че е наясно с проблема и ще го адресира в бъдеща актуализация. Въпреки това компанията признава, че уязвимостта в момента се базира на социално инженерство, което прави защитата трудна само чрез технически контроли.

Как работи CoPhish: фишинг чрез легитимни Microsoft домейни

Copilot Studio позволява на потребителите да създават и персонализират агенти (chatbots) чрез така наречените topics – автоматизирани потоци за изпълнение на конкретни задачи. При активиране на функцията „demo website“, агентът може да бъде публикуван на домейна copilotstudio.microsoft.com – което създава напълно легитимен URL адрес.

Атакуващите се възползват от това като създават зловреден агент и променят неговия Login topic – темата, която отговаря за удостоверяването на потребителя. В нея се интегрира външно приложение, което при натискане на бутона „Login“ изпраща OAuth заявка за достъп до акаунта на жертвата.

Когато потребителят потвърди достъпите, агентът тайно събира session токена и го препраща към контролирана от нападателя инфраструктура (напр. чрез Burp Collaborator). Всичко това се извършва в рамките на легитимен процес на Microsoft, без промяна на URL адреса или видими подозрителни признаци.

Защо е трудно да се открие

1. Легитимен домейн и SSL сертификат – страницата е хоствана в Microsoft и има доверен сертификат.

2. Автентичен интерфейс – дизайнът на страницата наподобява други Copilot услуги.

3. Няма видими пренасочвания – вместо класически редирект, се използва OAuth поток, който изглежда напълно нормален.

4. IP адресите са на Microsoft – това прави анализа на трафика безполезен, защото жертвата не осъществява връзка директно с атакуващия.

Единственият потенциален признак, който би могъл да повиши подозрение, е иконата на Microsoft Power Platform, която не е характерна за обичайните Copilot интерфейси – но за мнозина това остава незабележимо.

Потенциални жертви и обхват

Според Datadog, CoPhish може да бъде насочен както към администратори, така и към обикновени потребители. Най-рискови са онези, които имат високи привилегии в Azure или Entra ID – тъй като те могат да одобряват заявки за достъп на вътрешни и външни приложения, дори когато те не са верифицирани от Microsoft.

Дори след предстоящата актуализация на Microsoft, атаките могат да останат ефективни срещу администратори, защото новите ограничения няма да се прилагат за високо-привилегировани роли.

Технически механизъм на CoPhish

1. Атакуващият създава многонаемно (multi-tenant) приложение, което използва OAuth за удостоверяване.

2. Конфигурира Login темата на агента да пренасочва към външния доставчик и да събира токени.

3. Задава Burp Collaborator URL или друг сървър за прихващане на токена.

4. Активира демо сайта и разпространява линка чрез имейли или Microsoft Teams съобщения.

5. Жертвата натиска „Login“ и се удостоверява, мислейки, че влиза в Copilot.

6. Сесията се компрометира, а токенът се изпраща автоматично към нападателя.

Мерки за защита според Microsoft и Datadog

Microsoft препоръчва организациите да:

• ограничат административните привилегии и достъпи до OAuth приложения;

• прилагат строги политики за одобрение на приложения;

• следят активността в Entra ID и Copilot Studio за създаване на агенти и искания за достъп.

Datadog допълва, че компаниите трябва да:

• деактивират възможността обикновени потребители да създават нови приложения по подразбиране;

• преглеждат всички съществуващи Copilot агенти и техните Login конфигурации;

• въвеждат централизирани процеси за ревю и одобрение на OAuth приложения;

• активират известия при промени в application consent политиките.

CoPhish показва нова посока в еволюцията на фишинг атаките – използване на легитимни платформи и домейни на доставчици като Microsoft за източване на достъпни токени, без нужда от класически измамни страници. Това подчертава необходимостта от задълбочен контрол на OAuth разрешенията, видимост върху приложенията и ограничаване на административните роли.
Докато Microsoft подготвя корекция, организациите трябва да предприемат превантивни мерки и да следят активно поведението на Copilot агентите в своите среди.