Šta se desilo?

CloudSEK je istražio BigBear 2.0, fišing servis zasnovan na Evilginx2 koji cilja Microsoft 365. U panelu je evidentirano 5.137 zapisa o kredencijalima, uključujući 474 završene autentifikacije sa zaobiđenom MFA zaštitom, 1.032 lozinke i 4.148 sesijskih kolačića. Ove kategorije se preklapaju i ne predstavljaju 5.137 jedinstvenih kompromitovanih naloga.

Koga pogađa?

Istraživanje navodi 461 ciljanu organizaciju u više od 40 zemalja, među njima 151 pružaoca IT usluga. Broj ciljanih organizacija nije isto što i broj potvrđeno kompromitovanih organizacija. Ugroženi su korisnici Microsoft 365 koji unesu podatke na posredničkoj fišing stranici i završe podržan postupak prijave.

Kako se zaštititi?

  • U Microsoft Entra Conditional Access pravilima zahtevajte autentifikaciju otpornu na fišing, koristeći odgovarajuću authentication strength postavku. Samo registrovanje FIDO2 ključa nije dovoljno ako je dozvoljen prelazak na slabije metode.
  • Planirajte i testirajte primenu pravila, uključujući pristup u hitnim slučajevima, pre uvođenja za sve korisnike.
  • Pratite neobične prijave, pristup poštanskim sandučićima, nova pravila za prosleđivanje poruka, OAuth saglasnosti i registraciju novih metoda autentifikacije.
  • Pri sumnji na kompromitaciju ograničite pristup nalogu, promenite izloženu lozinku, opozovite sesije i tokene i sprovedite istragu. Sama promena lozinke nije dovoljan plan odgovora.

Tehnički detalji

AiTM posrednik prosleđuje saobraćaj između browsera žrtve i legitimne prijave, a zatim presreće sesijski kolačić. Napadač ga može ponovo upotrebiti za pristup. Rezidencijalni proxy servisi usklađeni sa lokacijom žrtve otežavaju otkrivanje anomalija.

JavaScript na fišing stranici pokušava da potisne FIDO2/WebAuthn i navede korisnika na slabiju alternativu. To nije dokaz probijanja kriptografske zaštite FIDO2. Obavezna primena autentifikacije otporne na fišing na strani servisa sprečava prihvatanje slabije metode za zaštićeni resurs.

Zašto je važno?

Uspešno završen MFA korak ne isključuje krađu sesije kod metoda podložnih posredničkom fišingu. Preuzimanje poslovnog naloga može omogućiti krađu dokumenata, lažno predstavljanje i prevare sa poslovnom prepiskom.

Preporuka Sajber Radara

Prioritet dajte obaveznoj autentifikaciji otpornoj na fišing za administratore i korisnike sa pristupom osetljivim podacima. Uvežbajte opoziv sesija i pregled aktivnosti naloga nakon prijave incidenta.