Хакери експлоатират уязвимост в OAuth механизма, за да запазят достъп до компрометирани акаунти, дори след прилагане на смяна на пароли и мултифакторна автентикация (MFA). Те постигат това чрез създаване на вътрешни злонамерени уеб приложения и издаване на OAuth токени, които осигуряват постоянен достъп.
Според доклад на Proofpoint, реални кибератаки показват, че нападателите могат да продължат да използват компрометираните акаунти чрез OAuth токени, независимо от опитите на потребителя да промени паролата или да активира MFA. Тези токени действат като ключ за достъп до електронна поща, файлове и други ресурси.
Механизъм на атака
В един от случаите, нападателят е поел контрол над акаунт след фишинг атака. Въпреки че жертвата е сменила паролата след четири дни, нападателят е запазил достъп чрез създадено вътрешно приложение („test“) с разрешения Mail.Read и offline_access. Това е позволило достъп до пощата на жертвата без значение от смяната на паролата.
Вътрешните приложения (second-party apps) се считат за високо доверени, тъй като произхождат от собствената директория на организацията. Това ги прави трудни за откриване и те могат да заобиколят много стандартни мерки за сигурност, включително мониторинг на приложения на трети страни.
Потенциални засегнати ресурси
При успешна експлоатация нападателят може да получи достъп до:
-
SharePoint документи и съдържание за сътрудничество
-
Файлове в OneDrive
-
Съобщения и канали в Microsoft Teams
-
Календарна информация
-
Контакти на организацията
-
Други ресурси на Microsoft 365
Мерки за защита
Proofpoint подчертава, че незабавното отзоваване на всички клиентски секрети и премахването на регистрираните приложения е критично за спиране на достъпа. Конкретните стъпки включват:
-
Незабавно анулиране на всички client secrets.
-
Премахване на всички съществуващи сертификати.
-
Изтриване на цялата регистрация на приложението и отзоваване на всички предишни разрешения.
-
Премахване на всички свързани service principals.
Тези действия прекратяват възможността на злонамереното приложение да издава нови токени и да поддържа достъп до ресурсите на организацията.
