KeyStealth получил токены Microsoft через фишинг с кодом устройства

25 августа 2026 года злоумышленник KeyStealth атаковал американскую компанию, связанную со строительной отраслью. В фишинговой кампании с приманкой в виде запроса коммерческого предложения он добился выдачи токенов Microsoft Authentication Broker после того, как сотрудник ввёл код устройства на легитимной странице входа Microsoft и прошёл многофакторную аутентификацию. Активность соответствовала фишингу с кодом устройства, нацеленному на получение токенов обновления и доступ к службе регистрации устройств Microsoft.

Фишинг с поддельной инфраструктурой и регистрацией устройств

Кампания началась с писем, отправленных со скомпрометированных почтовых ящиков третьих лиц и домена строительной компании с опечаткой в названии. Жертве направили изображение, замаскированное под PDF-вложение, со ссылкой на i-ps-c[.]com. Сайт применял маскировку: публичным сканерам показывал статичную приманку, а браузер жертвы перенаправлял на bnkcontract[.]cam, фактическую инфраструктуру фишинга. Активность проходила через резидентский прокси-сервер.

Через несколько секунд после получения токена оператор зарегистрировал поддельные устройства Entra ID. Три устройства использовали имя iAuthFlow-Device, совпадающее с названием коммерческого фишингового набора, предположительно связанного с злоумышленником. Все они сообщали версию Windows 10.0.19041.928. Она используется по умолчанию в библиотеке ROADtools с открытым исходным кодом, что указывает на возможное применение кода ROADtools или его производной.

Устройствам выдали новые пары ключей сертификатов и включили сессии первичного токена обновления (PRT) для постоянного доступа к Microsoft 365. Злоумышленник сохранял доступ около семи недель, используя короткие сессии из сетей с выходом в интернет через резидентные и мобильные подключения, а также через сети Zscaler. Активность фиксировалась более чем в 20 штатах США и затрагивала Outlook, Microsoft Search, Teams, SharePoint и службы вложений.

Во время первоначальной компрометации злоумышленник добавил ключ доступа через встроенный менеджер паролей Microsoft Edge. Для аутентификации этот ключ не использовался.

Перехват переписки и мошеннический запрос оплаты

15 октября злоумышленник перехватил переписку клиента по электронной почте. Он создал правило входящих сообщений из одного символа, которое помечало письма клиента как прочитанные и перемещало их в папку Conversation History. Затем злоумышленник отправил мошеннический ответ с предложением оплатить счёт через ACH или Venmo.

Отправленное сообщение злоумышленник переместил, мягко удалил, а затем безвозвратно удалил в течение нескольких секунд. Учётную запись отключили через 12 минут, до ответа клиента.

Авторы отчёта рекомендуют организациям снизить риск, ограничив аутентификацию с помощью кода устройства через политики условного доступа и отслеживая:

• неожиданные регистрации устройств;
• версии операционной системы по умолчанию в ROADtools;
• сессии на основе PRT;
• подозрительные правила входящих сообщений;
• быстрое удаление отправленных сообщений.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.