phishing na Microsoft

Phishing na Microsoft to najczęstszy dziś wariant ataku, celujący w poświadczenia do Microsoft 365.

Anatomia ataku i przechwytywanie uwierzytelniania w środowisku Microsoft 365

Współczesne kampanie ukierunkowane na poświadczenia chmurowe odeszły od prostych, statycznych fałszywych stron logowania. Obecnie dominującym wektorem ataku jest wykorzystanie architektury reverse proxy, co określa się terminem Adversary-in-the-Middle (AiTM). Napastnik nie kopiuje kodu źródłowego strony Microsoftu, lecz stawia serwer pośredniczący, który dynamicznie pobiera zawartość z oryginalnych serwerów usługi Entra ID (dawniej Azure Active Directory). Użytkownik, klikając w spreparowany link, łączy się z serwerem atakującego, który z kolei nawiązuje połączenie z właściwą infrastrukturą firmy Microsoft. Wszelkie dane wprowadzane przez ofiarę, w tym login oraz hasło, są przekazywane w czasie rzeczywistym. Kluczowym aspektem tej metody jest fakt, że serwer pośredniczący obsługuje pełen cykl negocjacji kryptograficznych TLS z klientem, mając tym samym wgląd w nieszyfrowany ruch aplikacyjny na warstwie siódmej modelu OSI. Tego typu infrastruktura często korzysta z certyfikatów SSL/TLS wystawianych przez darmowe urzędy certyfikacji, co pozwala uniknąć ostrzeżeń przeglądarki o niezabezpieczonym połączeniu. Dodatkowo, domeny wykorzystywane w takich atakach są nierzadko rejestrowane na krótko przed rozpoczęciem kampanii i wykorzystują techniki typosquattingu, na przykład zamieniając literę "o" na cyfrę "0" lub stosując znaki z innych alfabetów (homograph attack), aby wizualnie przypominały autentyczne adresy logowania wykorzystywane w środowiskach korporacyjnych.

Wektory kradzieży tokenów sesyjnych oraz omijanie mechanizmów MFA

Głównym celem ataku AiTM nie jest samo hasło, lecz token sesyjny. W architekturze Microsoft 365, po pomyślnej weryfikacji loginu, hasła oraz drugiego składnika uwierzytelniania (MFA), serwer wydaje przeglądarce specjalny plik cookie zawierający token dostępu (często powiązany z Primary Refresh Token). Właśnie ten element jest przechwytywany przez serwer reverse proxy. Posiadając ważny token, cyberprzestępca może zaimportować go do własnej przeglądarki i uzyskać bezpośredni dostęp do skrzynki pocztowej Exchange Online, dysku OneDrive czy komunikatora Teams, z pominięciem konieczności ponownego wpisywania kodów SMS czy zatwierdzania powiadomień w aplikacji Microsoft Authenticator. Standardowe mechanizmy MFA oparte na kodach jednorazowych (TOTP) są w tym scenariuszu wysoce podatne, ponieważ autoryzują sesję, która i tak zostaje przejęta na serwerze pośredniczącym. Innym często spotykanym wektorem jest wykorzystanie protokołu OAuth 2.0 i mechanizmu Device Code Flow. W tym wariancie ofiara jest proszona o wejście na autentyczną stronę dostawcy i wpisanie alfanumerycznego ciągu znaków dostarczonego przez atakującego, co autoryzuje urządzenie napastnika do dostępu do zasobów chmurowych na poziomie API. Metodą zapobiegania atakom AiTM na poziomie protokołu jest wdrożenie kluczy sprzętowych zgodnych ze standardem FIDO2/WebAuthn. Mechanizm ten kryptograficznie wiąże proces uwierzytelniania z fizyczną domeną, na której znajduje się użytkownik. Jeśli adres URL w przeglądarce nie zgadza się dokładnie z autentycznym adresem usługi, klucz sprzętowy odmówi wygenerowania poprawnej odpowiedzi kryptograficznej, uniemożliwiając logowanie przez serwer pośredniczący.

Ślady kompromitacji konta i eskalacja uprawnień w infrastrukturze chmurowej

Po udanym przechwyceniu sesji działania intruzów cechują się wysokim stopniem automatyzacji. Bezpośrednio po uzyskaniu dostępu w Exchange Online tworzone są reguły skrzynki odbiorczej (Inbox Rules), działające po stronie serwera. Skrypty automatycznie przenoszą wiadomości zawierające słowa kluczowe takie jak "faktura", "płatność", "przelew" lub "reset hasła" do rzadko odwiedzanych folderów, na przykład "RSS Feeds" lub "Archiwum", oznaczając je jednocześnie jako przeczytane. Dzięki temu prawowity właściciel konta nie dostrzega przychodzącej korespondencji od kontrahentów weryfikujących zmienione numery kont bankowych, co stanowi fundament oszustw typu Business Email Compromise (BEC). Równolegle, napastnicy generują nowe metody uwierzytelniania, dodając własne numery telefonów lub aplikacje TOTP do ustawień MFA przejętego konta. Pozwala to na utrzymanie dostępu (persistence) nawet po wygaśnięciu lub unieważnieniu początkowo skradzionego tokenu sesyjnego. Analiza takich incydentów opiera się na przeglądzie logów Entra ID. Administratorzy systemu weryfikują wystąpienia zdarzeń typu "impossible travel", czyli logowań z dwóch odległych geograficznie miejsc w czasie uniemożliwiającym przemieszczenie się, a także połączeń z przestrzeni adresowych przypisanych do dostawców usług VPN, centrów danych lub węzłów wyjściowych sieci Tor.

Weryfikacja stacji roboczej po incydencie i granice interwencji sprzętowej

W kontekście inżynierii sprzętowej i serwisowania maszyn należy precyzyjnie oddzielić architekturę usług chmurowych od fizycznej stacji roboczej. Przypadki kradzieży tożsamości Microsoft 365, w których dane logowania zostały wprowadzone wyłącznie na fałszywej stronie internetowej, rozwiązywane są przez administrację najemcą (tenantem) Microsoft. Obejmuje to unieważnianie aktywnych tokenów, usuwanie fałszywych urządzeń uwierzytelniających oraz analizę telemetrii chmurowej — działania te wykraczają poza możliwości i profil serwisów zajmujących się naprawą urządzeń konsumenckich. Interwencja placówki takiej jak Warszawskie Pogotowie Komputerowe ma zastosowanie, gdy phishingowi towarzyszyło wykonanie złośliwego kodu na lokalnym komputerze. Taka sytuacja ma miejsce, gdy fałszywy panel logowania nakłania do pobrania pliku wykonywalnego będącego oprogramowaniem typu infostealer. Kod ten eksportuje poświadczenia i lokalne bazy danych SQLite zawierające pliki cookie prosto z sektorów dysku twardego. Z perspektywy sprzętowej komputer uznaje się wówczas za skompromitowany na poziomie systemu operacyjnego. Procedura naprawcza obejmuje w takiej sytuacji wymontowanie nośnika SSD, wykonanie niskopoziomowego czyszczenia tablicy partycji oraz pełną reinstalację systemu operacyjnego Windows wraz z wgraniem czystego oprogramowania układowego (BIOS/UEFI), jeśli istnieje podejrzenie zaawansowanych modyfikacji. Zabezpieczamy również struktury logiczne danych użytkownika, kopiując je w izolowanym środowisku bez przenoszenia plików wykonywalnych. W ujęciu historycznym zdarzały się zgłoszenia dotyczące fizycznych modułów przechwytujących (keyloggerów) wpinanych między klawiaturę a port PS/2 lub złącze USB płyty głównej, jednak w dzisiejszych realiach takie ataki na sprzęt osobisty są rzadkością, ustępując miejsca opisanym wcześniej kradzieżom sesji w warstwie sieciowej.