Фишинг через Microsoft OAuth и Device Code Flow

Исследователи кибербезопасности зафиксировали новую волну атак, в ходе которых злоумышленники используют легитимную инфраструктуру Microsoft Identity Platform и редко атакуемый механизм — Device Authorization Grant спецификации OAuth 2.0. Этот поток (flow) создавался для упрощения входа на устройствах с ограниченными возможностями ввода — смарт‑телевизорах, игровых консолях, IoT‑гаджетах, — но теперь превратился в инструмент кражи учётных данных. Пользователь сам передаёт код злоумышленнику, даже не подозревая, что взаимодействует с подставным порталом, замаскированным под корпоративный юридический сайт.

Как работает атака: от PDF до подмены портала

Кампания стартовала с фишинговых писем, замаскированных под уведомления юридической фирмы. Письма содержали защищённый паролем PDF‑файл — классический приём, усыпляющий бдительность. Однако вместо традиционного фишингового домена в документе обнаруживались ссылки на полностью легитимный URL‑адрес Microsoft. Этот адрес, в свою очередь, перенаправлял жертву на поддельный портал, имитирующий корпоративный юридический сайт.

Технически процесс аутентификации выглядит так: когда пользователь инициирует вход, он запускает POST‑запрос к серверу Microsoft. В ответе возвращаются критические параметры — device_code, user_code и verification_uri. Именно они предписывают пользователю завершить аутентификацию на другом устройстве. Злоумышленники манипулировали этими взаимодействиями, заставляя жертву проходить через подлинные сервисы Microsoft, которые выступали лишь прокси для вредоносных конечных точек. Таким образом фишинговая активность маскировалась под обычный рабочий процесс.

Маскировка через доверенные платформы

Особую изощрённость атаке придало использование открытых перенаправлений на надёжных сторонних ресурсах. В одном из зафиксированных случаев злоумышленники задействовали cacoo.com — популярную платформу для создания диаграмм, чтобы незаметно перебросить пользователя на подставную страницу. Легитимный сервис становится звеном атаки, и политики безопасности, доверяющие домену, оказываются бессильны.

«Злоумышленники эксплуатируют легитимные сервисы исключительно как прокси для вредоносных конечных точек, усложняя обнаружение и увеличивая вероятность кражи учётных данных без традиционного развёртывания вредоносного ПО», — комментируют специалисты, анализировавшие кампанию.

Эволюция тактик: без вложений и с географическим акцентом

Методология атак быстро адаптировалась. Последующие фишинговые волны полностью отказались от PDF‑вложений и переключились на встроенные ссылки. Одновременно наметился явный сдвиг в сторону целевых атак на конкретные регионы — в первую очередь под удар попала Бразилия. Такая гибкость подчёркивает постоянно меняющийся ландшафт угроз и умение злоумышленников оперативно корректировать векторы атак в зависимости от эффективности первых итераций.

Как защититься: рекомендации пользователям и организациям

Для снижения рисков, связанных с фишингом через Device Code, эксперты советуют придерживаться нескольких ключевых мер:

• Бдительность пользователей: не одобряйте подозрительные запросы на аутентификацию. Даже если ссылка ведёт на доверенный домен, проверяйте, куда именно вы переходите: злоумышленники часто добавляют параметры перенаправления к легитимным URL-адресам.
• Оценка необходимости Device Code Flow: организациям рекомендуется проанализировать инфраструктуру и при отсутствии жёсткой потребности полностью отключить этот механизм с помощью Политики условного доступа (Conditional Access).
• Усиленный мониторинг: отслеживайте подозрительные события входа и проверяйте соответствие устройств корпоративным требованиям. Аномалии в использовании Device Authorization Grant должны немедленно эскалироваться.
• Защита электронной почты: внедрите многоуровневые меры безопасности — от песочниц для вложений до систем поведенческого анализа, способных выявлять фишинговые письма без вредоносной нагрузки.

Сочетание эксплуатации легитимных OAuth-потоков с мастерской социальной инженерией делает эту кампанию особенно опасной. Игнорирование даже одного из перечисленных слоёв защиты оставляет злоумышленникам достаточно пространства для манёвра.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.