サイバー犯罪者が、Adversary-in-the-Middle(AiTM)フィッシング攻撃によってMicrosoft 365の多要素認証(MFA)を突破し、経理担当社員のアクティブセッションを乗っ取ったうえで、メールボックスへのアクセス権を悪用して取引先への支払いを攻撃者管理下の銀行口座に振り替えていたことが分かりました。
今回のキャンペーンは完全にクラウドベースで実行されており、マルウェアやエンドポイントの侵害といった痕跡は一切残されていませんでした。攻撃は、受信者の有給休暇申請が却下されたと偽るHRを装った標的型メールから始まりました。
メールには「View PTO Conflicting Dates」というボタンが設置されており、その裏にはSendGridの追跡リンクが隠されていました。経理担当者がこのリンクをクリックすると、複数のリダイレクトを経由したうえで偽のMicrosoft 365サインインページが開く仕組みになっていました。
これにより攻撃者は、市販のVPNインフラから有効なMicrosoft 365セッションをリプレイ(再生)することが可能になりました。盗み取ったトークンではすでにMFA認証が完了済みとなっているため、攻撃者は新たにMFAリクエストを発生させたり、認証情報を推測したりする必要がありませんでした。
サインインの記録には、MFAが「previously satisfied(認証済み)」と表示された単一要素認証が記録されており、これはセッショントークンのリプレイを示す重要な指標です。
脅威アクターは乗っ取ったセッションを使って、Exchange Online、SharePoint、Microsoft 365検索、そして被害者が既存の権限を通じてアクセス可能だった共有の買掛金(accounts-payable)メールボックスにアクセスしました。
さらに、支払い関連のメールをアーカイブし既読扱いにしたうえで、それ以降のルール処理を停止させるよう設計された悪意ある受信トレイルールを3件作成しました。
これらのルールにより、不正行為の発覚につながりかねない正規の取引先からの督促メールや社内のやり取りが隠蔽されました。その後、犯人グループは2段階からなる取引先支払い迂回(ベンダー・ペイメント・ダイバージョン)工作を実行しました。
この工作はおよそ30日間続き、支払い迂回に関するメールが最も活発にやり取りされたのは2日目から24日目にかけてでした。攻撃者は不正メールのやり取りが終わった後も、被害者のMicrosoft 365環境へのアクセスを継続していました。
今回の事案は、エンドポイント検知ではなく、IDおよびメールボックスのテレメトリを通じて発覚しました。
調査担当者は、同一のMicrosoft 365セッションがアムステルダムとロサンゼルスからおよそ1分の間隔でアクティブになっているという「通常とは異なる移動(atypical-travel)」アラートを確認しました。これは物理的に不可能な移動パターンであり、VPNを利用したセッションリプレイと一致するものでした。
組織はMicrosoft Entraのトークン保護を有効にし、受信トレイルールの不審な変更を調査するとともに、銀行口座情報の変更があった際には必ず、既知の取引先電話番号への架電といった帯域外(アウトオブバンド)での確認を義務付けるべきです。
こうした対策を講じておけば、メールボックスのセッションが侵害された後であっても、支払い迂回型のBEC(ビジネスメール詐欺)を阻止できる可能性があります。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/microsoft-365-mfa-bypass/
