Злоумышленник повторно использовал токены Microsoft 365 в 79 организациях

С 14 июля по 22 сентября 2026 года злоумышленник атаковал 79 организаций, массово используя и повторно воспроизводя токены Microsoft 365. Huntress зафиксировала 497 успешных входов в систему и более 200 000 неудачных попыток. Для получения токенов злоумышленник применял фишинговые ретрансляции по схеме «противник посередине» (AiTM), фишинг с кодами устройств и социальную инженерию.

Повторное использование токенов и способы доступа

Токены аутентификации были выпущены после успешной многофакторной аутентификации (MFA), поэтому злоумышленник мог получить доступ без повторного прохождения MFA. Украденные сессии воспроизводились с инфраструктуры, связанной с немецким хостинг-провайдером 1337 Services GmbH, преимущественно из диапазона 193.26.115.0/24. Злоумышленник переключался между несколькими адресами, включая 193.26.115.221, .199, .16, .21, .72 и .210. В некоторых случаях сессии воспроизводились в течение нескольких минут после того, как жертва проходила MFA.

В кампании использовались разные способы доступа:

• клиенты Microsoft Office и Authentication Broker;
• запросы OAuth2:Token к Microsoft Graph;
• доступ к SharePoint Online;
• регистрация устройств;
• автоматизированные сессии на базе Node.js или браузера.

Действия после компрометации и рекомендации

Злоумышленник зарегистрировал как минимум 48 несанкционированных устройств Entra. Часто имена устройств имели формат DESKTOP-, за которым следовали восемь шестнадцатеричных символов. Также злоумышленник удалял и заменял методы MFA жертв, создавал новый доступ к корпоративным приложениям и устанавливал скрытые правила для почтовых ящиков.

Правила часто перемещали или удаляли сообщения, помечали почту как прочитанную либо фильтровали переписку, связанную с расчётами по заработной плате и банковскими операциями. Некоторые из них создавались через REST API Outlook с использованием VPN или арендованных хостинг-провайдеров. Как минимум в одном случае скомпрометированный почтовый ящик отправил сообщение о расчётах по заработной плате внешнему получателю. Другой аккаунт рассылал спам сотням получателей.

Для изоляции инцидента авторы отчёта рекомендуют отозвать пользовательские сессии и сбросить пароль. Одного сброса пароля может быть недостаточно, чтобы аннулировать активные токены или удалить зарегистрированные злоумышленником устройства и методы MFA. Специалистам по защите рекомендуется проверить:

• устройства Entra и изменения настроек MFA;
• правила почтовых ящиков и активность OAuth2:Token;
• регистрацию устройств и подозрительные корпоративные приложения.

Авторы отчёта также рекомендуют с помощью условного доступа (Conditional Access) требовать MFA или блокировать доступ для пользователей, облачных приложений и типов клиентских устройств. Аутентификацию по коду устройства рекомендуется ограничить политиками потока аутентификации.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.