Proofpoint: злоумышленники всё чаще применяют HTTP-клиенты для захвата учётных записей
источник: dall-e
Наблюдения компании Proofpoint показывают, что киберпреступники всё активней используют общедоступные HTTP-инструменты, разработанные для веб-разработки, для реализации атак на захват учётных записей в средах Microsoft 365. В этой схеме злоумышленники применяют средства, которые первоначально предназначались для создания и автоматизации веб-задач, превращая их в орудия для несанкционированного доступа.
Последние данные Proofpoint свидетельствуют о том, что 78% клиентов Microsoft 365 столкнулись с хотя бы одной попыткой атаки, использующей отдельный HTTP-клиент, в 2024 году. По словам специалистов компании, это число увеличилось на 7% по сравнению с показателями предыдущих шести месяцев, что подчёркивает нарастающую активность преступников.
Исследователи Proofpoint обратили внимание на устоявшуюся схему повторного использования доступных инструментов для вредоносных действий. Изначально предназначенные для технических задач, эти программы теперь служат для осуществления подборов паролей и перехвата сессий посредством методов типа AiTM. Эксперты отмечают, что такая трансформация технологий создаёт дополнительные трудности для специалистов по информационной безопасности.
В 2018 году злоумышленники приминили модифицированную версию клиента OkHttp (okhttp/3.2.0) в рамках кампании, которая продолжалась почти четыре года. По комментариям экспертов, данный способ достиг десятков тысяч атак ежемесячно к 2021 году, после чего его активность стала снижаться. С начала 2024 года всё более заметным становится использование новых HTTP-инструмёнтов, среди которых выделяются python-request и Axios.
Один из современных методов базируется на использовании HTTP-клиента Axios, в котором применяются приёмы перехвата для обхода многофакторной аутентификации. Эксперт Фёдор Козлов подчеркнул, что атаки, реализуемые посредством Axios, достигают уровня успешности в 43% случаев, что значительно превышает результаты традиционных методик подбора паролей.
Полная версия отчета представлена по ссылке.
