Фишинговые комплекты используют аутентификацию Microsoft по коду устройства
Ранее не задокументированное семейство фишинговых комплектов использует панели BlackApex, DarkApex, SPY и XXX101. Более 70 зафиксированных экземпляров имеют общие особенности серверной части, пути URL, структуру ответов JSON и логику аутентификации в административной панели.
Инфраструктура семейства размещена у нескольких хостинг-провайдеров и использует порты 5000 и 443. В панелях доступны настройка кампаний и шаблонов, управление доменами, механизмами защиты от ботов, журналами доступа и сессиями.
В целевых фишинговых кампаниях злоумышленники используют аутентификацию Microsoft по коду устройства, убеждая жертв самостоятельно завершить вход и тем самым обходя многофакторную аутентификацию. Письма направляют пользователей через доверенные облачные сервисы на приманку. Это может быть поддельная страница документа SharePoint или страница в стиле Zoom, имитирующая запрос разрешений приложения Microsoft. Приманка может содержать название и логотип организации жертвы.
Затем жертву перенаправляют на подлинную страницу аутентификации устройства Microsoft, где ей предлагают ввести код и подтвердить вход, инициированный злоумышленником. Сервер злоумышленника проверяет статус входа каждые пять секунд. После одобрения он обменивает код устройства и получает токены доступа и обновления для учётной записи Microsoft 365 жертвы, а затем перенаправляет её на легитимную страницу Microsoft Word.
Комплект также перехватывает и отображает основной токен обновления (PRT). Он может обеспечивать единый вход (single sign-on) в интегрированные приложения и давать возможность получить более широкий и постоянный доступ к цифровой идентичности и ресурсам жертвы.
Авторы отчёта рекомендуют защитникам отслеживать журналы входа в Microsoft Entra ID и выявлять необычные события, связанные с потоком аутентификации по коду устройства. Особое внимание следует уделять входам с неуправляемых устройств, из неожиданных диапазонов IP-адресов или с незнакомыми пользовательскими агентами. Организации могут блокировать аутентификацию по коду устройства с помощью условного доступа (Conditional Access), а если это невозможно, ограничить её использование соответствующими требованиям устройствами, именованными местоположениями или утверждёнными группами администраторов. Пользователям рекомендуется считать подозрительными неожиданные запросы на ввод или подтверждение кода устройства, даже если страница входа подлинная.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
