Набор MadApe использует аутентификацию Microsoft по коду устройства
Фишинговый набор MadApe нацелен на учётные записи Microsoft и использует аутентификацию с помощью кода устройства. Вместо сбора паролей на поддельной странице входа кампания перенаправляет жертв в легитимный процесс входа на устройстве Microsoft. Такая аутентификация может выглядеть доверенной и потенциально соответствовать требованиям многофакторной аутентификации.
Как устроена фишинговая цепочка
Цепочка доставки начинается с PDF-вложения на деловую тематику. В нём обычно упоминаются счета-фактуры, платежи, договоры или общие документы. Встроенные ссылки ведут на промежуточные страницы, которые имитируют доступ к документам SharePoint или предлагают пройти пользовательскую проверку личности. Эти страницы используют настраиваемые перенаправления, чтобы отправлять посетителей на целевые фишинговые страницы.
Проверки выполняются на стороне клиента. После их завершения страница устанавливает cookie с коротким сроком действия и перезагружается, отображая фишинговую страницу. На ней показывается код устройства, полученный от серверной части. Когда жертва копирует код, JavaScript отправляет сведения об этом действии по пути /api/code/entered. Затем страница перенаправляет пользователя на подлинный портал Microsoft microsoft.com/devicelogin, где тот вводит код и проходит аутентификацию.
Общий JavaScript-код страниц также содержит функцию опроса пути /api/code/status/, однако в проанализированных экземплярах опрос не выполнялся. Если авторизация проходит успешно, управляемый злоумышленником клиент может получить токены для предоставленных разрешений. Это потенциально даёт доступ к ресурсам Microsoft 365 и возможность дальнейшего злоупотребления учётной записью.
Комплект использует разные визуальные темы, в том числе SharePoint, OneDrive, Teams, Adobe Acrobat, DocuSign и экран входа Microsoft. При этом код и поведение серверной части остаются общими. Панель оператора называется Mad Ape — Login. Её наблюдали на хостах, которые также обслуживали фишинговые страницы и сайты-приманки.
Инфраструктура и рекомендации защитникам
Расширенный набор данных об инфраструктуре включал 155 корневых доменов. Компоненты фишинга обнаружили на поддоменах или по URL-путям, связанным с 97 из них. Связанная инфраструктура демонстрировала общие закономерности регистрации, шаблоны сайтов-приманок и другие технические характеристики.
Авторы отчёта рекомендуют защитникам проверять журналы входа Microsoft Entra на предмет неожиданной активности с кодом устройства и сопоставлять её с переходами по ссылкам в электронной почте, подозрительными приложениями, географическими локациями и последующими действиями в учётных записях. Если аутентификация с помощью кода устройства не требуется, условный доступ может заблокировать этот сценарий.
В ходе расследования авторы также рекомендуют анализировать веб-телеметрию на наличие API-путей, использовавшихся в кампании, и проверять ссылки в PDF-файлах и перенаправления, зависящие от действий пользователя. При подтверждённой или предполагаемой компрометации они рекомендуют незамедлительно сдержать учётные записи и отозвать сессии, а также проверить токены, разрешения приложений, регистрации устройств, правила почтовых ящиков и доступ к файлам.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
