Badacze bezpieczeństwa z Varonis Threat Labs opisali technikę po uzyskaniu dostępu do środowiska, która może pozwolić atakującym przechwytywać hasła poprzez zarejestrowanie złośliwego zewnętrznego dostawcy uwierzytelniania wieloskładnikowego w dzierżawie Microsoft Entra.
Metoda o nazwie TrustSink jest wymierzona w środowiska Entra skonfigurowane do korzystania z zewnętrznych metod uwierzytelniania, które pozwalają organizacjom polegać na usługach innych firm przy weryfikacji MFA. W standardowym procesie Entra przekierowuje użytkownika do zewnętrznego dostawcy po początkowym etapie logowania, a następnie akceptuje podpisaną odpowiedź wskazującą, że wymagany drugi składnik został ukończony.
Według badaczy atakujący z dostępem o wystarczających uprawnieniach mógłby skonfigurować fałszywego dostawcę podszywającego się pod legalną usługę MFA. Gdy użytkownik wprowadzi poświadczenia na autentycznej stronie logowania Microsoftu, proces logowania przekierowuje go do dostawcy kontrolowanego przez atakującego. Zamiast wyświetlić monit MFA, usługa prezentuje wiarygodnie wyglądający dodatkowy monit o hasło.
Jeśli użytkownik poda hasło na tej stronie, złośliwa usługa może je zebrać, a następnie zwrócić do Entra prawidłowe podpisane poświadczenie. Logowanie może zatem przebiegać normalnie, przez co ofiara może nie zdawać sobie sprawy, że jej poświadczenia zostały ujawnione.
Wymagany uprzywilejowany dostęp
TrustSink nie jest opisywany jako technika uzyskiwania początkowego dostępu. Atakujący musiałby najpierw przejąć kontrolę nad kontem z uprawnieniami takimi jak administrator globalny lub administrator zasad uwierzytelniania. Przeprowadzenie ataku wymaga zmian w zasadach metod uwierzytelniania oraz utworzenia powiązanych konfiguracji aplikacji, jednostki usługi i zgody.
Badacze stwierdzili, że ryzyko może utrzymywać się po zresetowaniu hasła, jeśli fałszywy dostawca pozostanie włączony. W takim scenariuszu użytkownik może wprowadzić nowe hasło podczas późniejszego logowania, co również umożliwi jego przechwycenie.
Środki obronne
- Przeglądaj zewnętrzne metody uwierzytelniania i badaj nieznanych dostawców MFA.
- Monitoruj zmiany zasad uwierzytelniania, aplikacji korporacyjnych, przyznanych zgód, kluczy podpisujących i adresów URL przekierowań.
- Usuń złośliwe konfiguracje dostawców i powiązane artefakty aplikacji przed zresetowaniem haseł, których dotyczy incydent.
- Ogranicz stałe uprawnienia administracyjne i stosuj kontrolę najmniejszych uprawnień dla ról związanych z zarządzaniem tożsamością.
- W stosownych przypadkach wdrażaj odporne na phishing opcje uwierzytelniania, w tym klucze bezpieczeństwa FIDO2 i Windows Hello dla firm.
Badanie rozwija wcześniejsze prace pokazujące, że zarejestrowany zewnętrzny dostawca może zwracać poświadczenia spełniające wymagania MFA bez wykonania oczekiwanej weryfikacji. TrustSink rozszerza tę koncepcję, wykorzystując zaufany etap przekierowania uwierzytelniania do żądania i zbierania haseł użytkowników.