Напади со повторна употреба на токени во Microsoft 365 компромитирале 97 сметки во 79 организации

Истражувачи за сајбербезбедност открија кампања насочена кон Microsoft 365, во која напаѓачите користеле посреднички релеј (Adversary-in-the-Middle – AitM) за да ги украдат сесиите за најавување, а потоа повторно ги користеле украдените токени за да добијат пристап до е-пошта во 79 организации.

Компанијата Huntress, која ја следела активноста во периодот од 14 јули до 22 септември 2026 година, соопшти дека открила 497 успешни најавувања на Microsoft 365 во нападнатите организации, од повеќе од 200.000 обиди за најавување. Напаѓачите на крајот компромитирале 97 сметки и регистрирале 48 лажни уреди во Entra.

„Наместо да погодува лозинки, напаѓачот повторно ги користел токените за најавување украдени од жртвите. Утврдивме дека повеќе од 200.000 неуспешни обиди за најавување во периодот на кампањата потекнуваат од опсегот на IP-адреси 193.26.115[.]0/24“, соопштија истражувачите на Huntress, Andrea Hatcher, Susannah Matt, Matt Poto и Andrew Schwartz.

Во нападот била користена страница за најавување од типот AitM, која се поставува меѓу жртвите и легитимната инфраструктура на Microsoft. Таа ги пресретнува внесените акредитиви и кодовите за повеќефакторска автентикација (MFA), а потоа ги препраќа податоците до вистинската страница за најавување.

Крајната цел е да се украде токенот за пристап што Microsoft го издава по завршувањето на процесот на најавување, за напаѓачот да не мора повторно да ја заобиколува MFA-заштитата. Потоа, токенот што служи како „доказ за најавување“ се користи повторно од уредите на напаѓачот, во рок од неколку минути, за автоматизирани обиди за најавување на услугите на Microsoft 365.

Овој пристап е наречен „token spraying“, бидејќи напаѓачот масовно повторно користи многу украдени токени во повеќе организации, на начин сличен на нападот со масовно испробување лозинки (password spraying).

По успешното добивање пристап, напаѓачите се обидувале да ја одржат контролата врз компромитираните сметки така што ја додавале сопствената апликација за автентикација. На тој начин можеле да ги завршуваат MFA-проверките при нови најавувања и да ги надминат ситуациите во кои украдениот токен за сесија истекува или жртвата го отповикува.

Во најмалку 19 организации, постојните методи за MFA на жртвите биле отстранети, а нов метод бил регистриран во рок од три часа од првото најавување. Во еден случај, забележан на 21 јули 2026 година, напаѓачите активирале нова апликација за автентикација со име „iPhone 13“, помалку од 51 минута по киднапирањето на сесијата.

„Лажните уреди ја имаа истата цел“, соопштија истражувачите. „Напаѓачот регистрирал најмалку 48 лажни компјутери во директориумите на Microsoft на нападнатите организации. Регистрираниот уред може да му овозможи на напаѓачот потраен начин за барање токени отколку само украдената сесија, а останува во директориумот сè додека некој не го избрише.“

Дополнително, забележано е дека напаѓачите поставувале скриени правила за е-пошта во сандачињата на жртвите. Правилата имале имиња како „.“, „sss“, „ss“, „iT“, „,.“, „……..“, „s“ и „d“, а служеле за бришење на дојдовните пораки што содржеле одредени клучни зборови поврзани со исплата на плати, депозити и бонуси, или за нивно преместување во помалку забележливи папки, како што се RSS Feeds и Conversation History.

Во едно компромитирано поштенско сандаче, правилото за е-пошта ги означувало сите дојдовни пораки како прочитани и ги бришело. Потоа, сандачето било искористено за испраќање спам-пораки до стотици надворешни примачи, пред Microsoft Entra ID Protection да ја означи сметката како високоризична.

Huntress соопшти дека украдените токени потекнуваат од повеќе извори, вклучувајќи AitM-релејни сервери зад лажни страници за најавување, фишинг преку код за уред (device-code phishing) и социјален инженеринг за време на легитимен процес на најавување.

Кампањата првпат била забележана од романска IP-адреса „193.26.115[.]221“, која, според VirusTotal, ја користи тројанецот за далечински пристап AsyncRAT. IP-адресата е поврзана со германскиот хостинг-провајдер 1337 Services GmbH.

Податоците на GreyNoise моментално наведуваат 29 IP-адреси поврзани со овој хостинг-провајдер. Од нив, 10 се означени како злонамерни, а пет како сомнителни. Особено е значајно што субјектот е поврзан со StarkRDP и rdp[.]sh, услуги што им овозможуваат на клиентите што плаќаат да изнајмуваат виртуелни сервери.

Домените поврзани со StarkRDP и rdp[.]sh биле запленети заедно со веб-страниците на Nulled, Cracked и Sellix, во рамките на меѓународна операција на органите за спроведување на законот наречена Talent, во јануари 2025 година. Во моментот на пишување на статијата, двете платформи повторно работеле, при што првата била преименувана во exy[.]sh.

„StarkRDP отсекогаш работел во согласност со законот и не е вмешан во ниту едно од овие наводни кривични дела. Правната постапка ќе го потврди тоа“, се наведува во објава од 30 јануари на Telegram-сметката на StarkRDP, според независниот новинар за сајбербезбедност Brian Krebs.

„Единствените работи што беа запленети се серверот на веб-страницата и нашиот домен. За жал, никој не може да каже кој ги презел ниту со кого можеме да разговараме за тоа. Затоа, наскоро повторно ќе започнеме со работа под друго име, со што ќе го затвориме поглавјето наречено „StarkRDP“.“

На организациите што се сомневаат дека биле компромитирани преку повторна употреба на токени им се препорачува да ги отповикаат активните сесии и да ги ресетираат лозинките, да ги проверат уредите регистрирани во Entra, да ги прегледаат методите за MFA, да проверат дали има неочекувани правила во поштенските сандачиња или нови корпоративни апликации и да го ограничат процесот на автентикација преку код за уред со помош на политиките за условен пристап (Conditional Access).

„Политиките за условен пристап (CAP) можат да помогнат во затворањето на некои безбедносни празнини што MFA не може да ги покрие, доколку се правилно имплементирани“, соопштија истражувачите на Huntress. „Организациите што ги конфигурираат овие политики треба безусловно да бараат MFA или да блокираат пристап за сите корисници, сите облачни апликации и сите типови клиентски апликации.“

Извори:

• The Hacker News – Microsoft 365 Token-Replay Attacks Compromise 97 Accounts at 79 Organizations The Hacker News