サイバーセキュリティ企業Huntressによる新たな調査によると、新たに発見されたフィッシング・アズ・ア・サービス(PhaaS)キットが、被害者のパスワードではなくアクティブなログインセッションを盗み出すことで、Microsoft 365アカウントを乗っ取るために使われています。この手法により、攻撃者は多要素認証(MFA)を推測・突破・回避する必要すら一切なく、そのまま素通りできてしまいます。
研究者らが「Knight Office」と名付けたこのキットは、Huntressのセキュリティオペレーションセンター(SOC)が8月、顧客のMicrosoft 365アカウントで発生した不審なサインイン活動を調査したことで明るみに出ました。侵入経路をたどる過程でアナリストらは、攻撃者自身が使う運用コンソールを発見しました。それはCloudflare Turnstileによるボット判定機能やリアルタイムの訪問者統計まで備えた、洗練された作りのダッシュボードで、被害者や窃取したログイン情報を1画面で一元管理できるようになっていました。
Huntressは、攻撃者が被害者やその窃取データをリアルタイムで確認できるこの運用者向けパネルと、偽のログインページなど被害者側に見せる攻撃の実行を担うフィッシングキット本体のコードとを、明確に区別しています。
攻撃の手口
Huntressによると、この攻撃はDocuSignの署名リクエストを装った偽メールから始まります。受信者に即座の対応を促す緊迫感のある件名が付けられているのが特徴です。さらに巧妙な点として、これらのメールは「セルフスプーフィング」により、あたかも受信者自身のメールアドレスから送られてきたかのように偽装されています。
メール内のリンクをクリックすると、正規のワーク管理プラットフォームMonday.comや、侵害されたJoomlaサイトを経由する複数のリダイレクトの連鎖に誘導され、メールセキュリティのスキャナーから最終的な着地先を隠す仕組みになっています。被害者がたどり着くのは、Microsoftの本物そっくりな偽ページで、そこには一見普通の「デバイスログイン」コードが表示されます。これはMicrosoftが他のデバイスでアプリにサインインする際に使う正規の手順を模倣したものです。
被害者がコードを入力し、Microsoftへのログインを完了すると――スマートフォン上でMFAのプロンプトを承認する部分も含め、正規のサインインとまったく同じ手順を踏むことになります――その裏で攻撃者のインフラが被害者のライブセッションを密かに傍受し、取得します。窃取されたセッションは即座に悪用可能な状態となり、攻撃者はパスワードもMFAプロンプトも自ら必要とすることなく、正規ユーザーになりすましてアカウントにアクセスできてしまいます。
Huntressのテレメトリでは、窃取されたトークンがデータセンターのホスティングインフラから再利用されている様子が確認されており、また誤ったパスワードが一度も入力されないため、パスワードベースの標準的な検知アラートは一切発動しませんでした。
攻撃者は長期潜伏のための布石を打っていた
Huntressの調査によると、攻撃者は初期侵入だけにとどまりませんでした。アクセス権を獲得した後、被害者のMicrosoft Entra ID(旧Azure AD)テナントに対して攻撃者が管理する不正なデバイスを登録し、さらにWindows Hello for Business(WHfB)のパスワードレス認証情報を侵害済みアカウントに紐付けていました。これは事実上のバックドアとして機能し、たとえ最初に盗んだセッションが失効させられても、再びログインできる状態を作り出すものです。
研究者らは、この手法が本来、正規ユーザーのサインインをより安全にするために設計された機能を、攻撃者にとっての永続化(パーシステンス)の仕組みへと転用していると指摘しています。
キャンペーンの規模
Huntressによると、同一の運用コンソールは、自社の顧客基盤内だけで、2週間の間にMicrosoft 365とGoogle Workspaceのアカウントを狙った少なくとも9件の確認済みフィッシング攻撃と関連付けられています。さらに同社は、同一の誘導文言・テンプレートに一致するメールが4月以降、セキュリティ意識向上トレーニングプラットフォームを通じてユーザーから700件以上報告されていると述べており、このキャンペーンがかなり大規模な形で数か月にわたり展開されてきた可能性を示唆しています。
研究者らが確認した件名のバリエーションには、ボイスメール通知や共有ドキュメントのアラートを装ったメッセージが含まれており、その一部では「Important」や「Signature」といった単語の中で小文字の「l」を「i」に置き換えています。これは、完全一致のキーワードを検索するスパムフィルターを回避する狙いがあるとみられます。
パスワード離れという大きな潮流の一環
「Knight Office」は、Huntressがこれまで追跡してきた一連のフィッシングキットの最新版であり、認証情報そのものではなくセッショントークンやOAuthアクセストークンの窃取に主眼を置く点で共通しています。これは、EvilTokensやKali365と呼ばれるキットに関するこれまでの調査結果とも通じるものです。セキュリティ研究者らは、AiTM(Adversary-in-the-Middle)フィッシングと呼ばれるこの種の攻撃手法が急速に広まりつつあると警告しています。まさにこの手法によって、従来のパスワード管理はもとより、MFAでさえも単独の防御策としては効果が大きく損なわれてしまうためです。
Huntressは、こうした攻撃活動を検知する際には、ログイン失敗やパスワードスプレー攻撃のアラートだけに頼らず、見慣れないデバイスやコールバックプロキシから発生する想定外のMFA認証後イベントにも注意を払うよう組織に推奨しています。さらに、新規登録されたEntra IDデバイスやWHfB認証情報を確認し、不正な認証方法が見つかった場合は速やかに取り消すことも重要だとしています。
侵害の痕跡(IOC)
Huntressは、このキャンペーンに関連する侵害の痕跡(IOC)の全リストを公開しています。フィッシング管理パネルのIPアドレス(104.37.188[.]94)、それをホストするドメイン(idoej[.]com)、そして.vuトップレベルドメインを使用した20件以上のなりすましフィッシングドメインが含まれています。
