Microsoftによると、ITヘルプデスク職員になりすました脅威アクターが、フィッシングやデバイスコード攻撃へと従業員を誘導し、持続的なクラウドアクセスを獲得しているといいます。
攻撃者は、パスキーを口実にしたソーシャルエンジニアリングを使って従業員をだまし、Microsoftアカウントへのアクセス権を手に入れています。
Microsoft Security Researchによると、5月以降、攻撃者がITヘルプデスク職員になりすまし、パスキーの更新や登録が必要だと従業員に伝えた上で、敵対者中間者(AiTM)フィッシングページやMicrosoftのデバイスコード認証フローに誘導するという、活発なクラウド侵入活動を継続的に追跡しているとのことです。
この一連のキャンペーンにより、攻撃者は最終的に侵害されたクラウドID(アイデンティティ)へのアクセス権を獲得し、独自の認証方法を登録したり、被害者のMicrosoft 365環境をマッピングしたり、クラウド上に保存されたファイルやメールにアクセスしたりすることが可能になっていました。
「今回のキャンペーンにおいて、パスキーはあくまで誘い文句であり、脆弱性そのものではありません」と、AttackIQでThreat-Informed Defense担当VPを務めるジョン・ベイカー(Jon Baker)氏は指摘します。「今回突破されたMFAはフィッシング耐性のないものでした。本物のパスキーであれば、この攻撃は防げていたはずです」
ヘルプデスクへの電話を通じて侵害されたアイデンティティ
この攻撃は多くの場合、組織のITヘルプデスク担当者を名乗る人物から、従業員個人の携帯電話に電話やメッセージが届くところから始まります。攻撃者は従業員に対し、業務への支障を避けるためパスキー、MFA、またはSSOの設定を直ちに更新する必要があると伝えます。
その後、被害者はMicrosoftのサインインページに似せたWebサイトへとリダイレクトされます。AiTM攻撃の場合、攻撃者は認証情報とセッショントークンを窃取できます。一方、デバイスコード攻撃の場合は、被害者は正規のMicrosoft認証ページ上でコードを入力するよう指示され、その結果、攻撃者が管理するクライアントが認可されてしまいます。
Microsoftによると、この最初のやり取りではエンドポイント上にほとんど痕跡が残らないケースが多く、特に被害者がMicrosoft Defender for Endpointで管理されていない個人所有デバイスでフィッシングリンクを開いた場合に顕著だといいます。
一部のケースでは、攻撃者はすでに侵害済みのアカウントを悪用し、Microsoft Teams経由でパスキーを口実にしたメッセージを送信しており、これにより信頼できる同僚からの依頼であるかのように見せかけていました。
このキャンペーンは単一の攻撃パターンにとどまりません。Microsoftは、数日前に登録されたとみられる認証情報やMFA方式を攻撃者が使用していたケースも確認しており、これはMFAの持続的な悪用がすでに確立されていたことを示唆しています。
攻撃者は独自の認証方法を登録
アイデンティティが侵害されると、Microsoftは攻撃者が電話番号、認証アプリ、ソフトウェアベースのOTPトークンなど、自ら管理する認証方法を登録している様子を確認しました。これにより攻撃者は、正規ユーザーを介さずに今後のMFAチャレンジを突破する手段を手に入れていました。
続いて攻撃者はMicrosoft Graphを使い、ユーザー、グループ、ロール、認証方法、アプリケーション、クラウドリソースを列挙していました。その後、SharePointやOneDriveに移動してファイルを探索・アクセスし、一部の侵入事例ではExchange OnlineやREST APIベースのメールアクセスも確認されています。
「攻撃者は自ら管理する認証方法を登録し、Microsoft Graphを通じてテナントをマッピングした上で、まるで多忙な従業員であるかのようなペースでファイルやメールを取得していきます」とベイカー氏は述べています。「その一つひとつの操作は単体で見れば怪しいものではありません。怪しいのは、その一連の流れなのです」
一部のケースでは、自動化の痕跡も確認されており、大量のSharePointおよびOneDriveアクセスに関連付けられた「python-httpx」というユーザーエージェントもその一例です。また攻撃者は、1時間あたりのアクセスファイル・メール件数を1000件未満に抑えるなど、意図的にペースを制御しており、これにより通常の企業活動に紛れ込ませていた可能性があります。
Microsoftは、異常なサインインと新規の認証方法登録、Graphによる偵察活動、そしてSharePoint・OneDrive・Exchangeにおける異常な挙動とを相関分析するよう推奨しています。また、Conditional Access(条件付きアクセス)を通じてフィッシング耐性のあるMFAを強制すること、正当な業務上の必要性がない場合はデバイスコードおよび認証転送フローをブロックすることも併せて推奨しています。
