Ondsindet MFA-udbyder kan stjæle adgangskoder under legitime login

En ondsindet MFA-udbyder kan stjæle adgangskoder, mens brugere gennemfører et ellers legitimt Microsoft Entra-login, ifølge Varonis Threat Labs. Forskerne demonstrerede teknikken, kaldet TrustSink, i et testmiljø.

Angrebet kræver, at en hacker allerede kontrollerer en Entra-konto med meget høje privilegier. Det giver ikke en indledende vej ind i en organisation.

Ekstern udbyder bliver en del af den normale loginproces

Microsoft Entra giver organisationer mulighed for at bruge eksterne godkendelsesudbydere til multifaktorgodkendelse. Når en bruger har indtastet en adgangskode, kan Entra omdirigere browseren til en konfigureret udbyder for det andet trin.

Udbyderen sender derefter Entra et signeret token, der angiver, om brugeren har gennemført dette trin. Hvis Entra accepterer tokenet, fortsætter loginprocessen.

Varonis fandt ud af, at en angriber med tilstrækkelig administrativ adgang kunne registrere en ondsindet External Authentication Method. Angriberen kunne derefter placere denne udbyder i godkendelsesprocessen for udvalgte brugere.

Falsk adgangskodeprompt opsnapper loginoplysninger

I forskernes demonstration indtastede brugerne først deres loginoplysninger på Microsofts legitime loginside. Da Entra anmodede om MFA, blev de omdirigeret til den angriberkontrollerede udbyder.

I stedet for at bede om en anden faktor viste udbyderen en overbevisende kopi af Microsofts adgangskodeprompt. En bruger, der indtastede sin adgangskode igen, sendte den til angriberens server.

Den ondsindede MFA-udbyder returnerede derefter et signeret token, som angav, at MFA-trinnet var gennemført. Som følge heraf fuldførte Entra loginprocessen, og brugeren fik adgang til den applikation, vedkommende havde til hensigt at åbne.

Varonis oplyste, at login i virksomhedens testmiljø så normale ud, mens dens server indsamlede adgangskoder. Den ekstra adgangskodeprompt kunne virke troværdig, fordi brugerne møder den på et tidspunkt, hvor de forventer endnu et godkendelsestrin.

Nulstilling af adgangskoder alene fjerner ikke truslen

Registrering af den ondsindede metode kræver adgang til en Global Administrator- eller Authentication Policy Administrator-konto. Angriberen skal også foretage ændringer, der involverer en applikation, en service principal og en godkendelsespolitik.

Når udbyderen først er konfigureret, kan den forblive aktiv ved senere login. Varonis fandt ud af, at nulstilling af en opsnappet adgangskode ikke fjernede den. Den ondsindede side kunne opsnappe den nye adgangskode, næste gang brugeren loggede ind.

Derfor bør administratorer, der undersøger dette scenarie, fjerne den uautoriserede udbyder og den tilhørende konfiguration, før de ændrer de berørte loginoplysninger. Varonis anbefaler også at overvåge ændringer i godkendelsespolitikker og begrænse vedvarende adgang til administratorroller med meget høje privilegier.

Resultaterne beskriver en teknik, der anvendes efter en kompromittering. Varonis demonstrerede, hvad en angriber kunne gøre efter at have fået administrativ kontrol. Rapporten fastslår ikke, at TrustSink er blevet anvendt i angreb mod organisationer.