盗まれたMicrosoft Entra IDのアプリケーション認証情報を使うハッカーが、マネージドサービスプロバイダー（MSP）やその下流の顧客を含む27組織にアクセスしていたことが分かりました。
「Key Eater」と名付けられたこのキャンペーンは11月1日に始まり、18組織にまたがる約45件のアプリケーション登録を標的にしました。このうち33件以上で認証に成功しています。
調査チームは、81個のファイルのダウンロードと、約2,279件のメールボックス項目へのアクセスを確認しました。ただし、可視化できたのはTodylのテレメトリを提供している組織に限られます。
攻撃者は、Microsoftのソフトウェアの脆弱性を突いたのではなく、有効なシークレットを使ってアプリケーションのサービスプリンシパルとして認証していました。調査では、Azure DevOpsのフェデレーテッド・ワークロードIDが使われたことや、開発者セッションがリプレイされたことも確認されています。
アプリケーション認証ではユーザーMFAのプロンプトが発生せず、ユーザー単位の条件付きアクセスもアプリ専用アクセスは制御できません。元の認証情報がどのように盗まれたのかは不明です。有効なシークレットと期限切れのシークレットの組が見つかっていることから、インターネットに公開された設定ではなく、ファイルリポジトリか稼働中のバックエンドから流出した可能性があります。
ほぼすべての認証情報について、攻撃者はまずAzure Resource Managerのトークンを要求しました。続いてAzure Key Vaultのトークンを、さらにGraph、Storage、Cognitive Servicesのトークンもたびたび要求しています。
その後、それまで使われていなかったアプリケーションが数分以内に認証を行いました。この流れから、Key Vaultの中身が追加の認証情報の供給源になったとみられます。ただし、確定にはKey Vaultの監査ログが必要です。
攻撃者は約25のテナントで、Microsoft Graphを通じて単一ワイルドカードによる検索を29回実行しました。その後、SharePointのファイルをおよそ1秒に1件の速さでダウンロードしています。
収集された文書には、パスワード一覧、秘密鍵、VPNプロファイル、MFAおよびリモート監視のAPIキー、バックアップストレージの認証情報、ファイアウォール設定、サービスアカウントの対応表などが含まれていました。
MSPのマルチテナントアプリケーションによって、被害は顧客環境にも広がりました。あるアプリケーションは、約10秒間隔のループで15の顧客テナントを走査しています。
パートナーセンターのトークンや委任管理アプリケーションも標的でした。ただし、確認されたGDAP自動化アプリケーションの1つは、顧客テナントへの認証に失敗しています。こうした関係性により、当初の標的組織を超えてアクセスが拡大しました。
サインインの95%はスクリプト化されたクライアントによるもので、10秒間に24回の試行が集中するバーストや、約11秒間隔の再試行が見られました。ダウンロードされたコネクタのアーカイブは、認証のおよそ2.5分前に取得されていました。
これほどの速さにもかかわらず、Todylは自己増殖型のワームは確認していません。長い中断や、偽装されたブラウザシグネチャの変更から、人間が指示を出していたと考えられます。
AIによる自動化支援の可能性も残りますが、確度は低いとされています。また、調査チームは、10月に確認されたStorm-0940によるConnectWiseキャンペーンとは無関係の活動と評価しました。
確認された悪意あるサインイン、ダウンロード、トークンのリプレイはすべて199[.]19[.]77[.]84から行われており、特徴的なユーザーエージェントとして task177-f2267/1.0 と sait-tenant-deep/37346 が使われていました。
検知された後、攻撃者はリフレッシュトークンのリプレイに切り替えました。ただし、確認されたリプレイは11月3日にすべて条件付きアクセスでブロックされています。
防御側は、成功したイベントだけでなく、失敗したサービスプリンシパル認証も調べる必要があります。とくに、成功の前に発生しているAADSTS7000215エラーに注意が必要です。別途報告されているOAuthクライアントIDのなりすましも、認証失敗を調査すべき理由を示しています。
封じ込めには、侵害されたアプリケーション認証情報の削除、必要に応じた影響を受けたサービスプリンシパルの無効化、Key Vaultやダウンロードされた文書を通じて漏えいしたシークレットのローテーションが求められます。
調査チームは、Entra、Azure DevOps、Key Vault、Storage、Microsoft 365の監査記録を突き合わせたうえで、MSPの顧客関係を見直すよう推奨しています。
ユーザーセッション、PAT、SSHキーは、別途失効させる必要があります。確認された環境では、新たな同意、認証情報、ロール、ユーザーによる永続化は見つかっていません。AIサービスのトークンは4件発行されましたが、発行されたことだけでリソースが悪用されたとは言えません。
1万6,000以上のSOCチームが、ANY.RUNで脅威調査を効率化し、手作業を削減しています。チームでの利用を検討する
翻訳元: https://cyberpress.org/hackers-microsoft-entra-id-breach-27-organizations/
