Новая тактика обхода MFA
Группировка Skyw4lker, известная своими целевыми атаками на корпоративный сектор США, перешла на использование фишинга Device Code. Этот метод позволяет злоумышленникам обходить многофакторную аутентификацию (MFA), которая ранее считалась надежной защитой. Атаки направлены на пользователей Microsoft 365, использующих устройства, поддерживающие протокол OAuth 2.0.
Механика атаки
В отличие от традиционного фишинга, где жертва вводит пароль, здесь используется механизм «Device Code Flow». Жертва получает ссылку или код, который вводит на своем устройстве. После подтверждения на экране, злоумышленник получает токен доступа без необходимости ввода пароля или SMS-кода. Это делает атаку практически незаметной для стандартных систем мониторинга.
Почему это важно
Атаки Device Code Phishing становятся все более распространенными, так как они:
- Обходят стандартные MFA-решения.
- Не требуют передачи паролей.
- Выглядят как легитимные запросы на авторизацию.
Рекомендации по защите
Для защиты от подобных атак рекомендуется:
- Внедрить мониторинг аномальной активности в Azure AD.
- Ограничить использование Device Code Flow для критически важных приложений.
- Проводить регулярные тренировки по киберграмотности для сотрудников.
Заключение
Атаки Skyw4lker подчеркивают необходимость пересмотра стратегий безопасности, особенно в контексте использования облачных сервисов Microsoft 365. Организации должны быть готовы к новым тактикам злоумышленников и внедрять многоуровневую защиту.
Источник: Thehackernews ↗