Bösartiger MFA-Anbieter kann Passwörter bei legitimen Anmeldungen stehlen

Ein bösartiger MFA-Anbieter kann Passwörter stehlen, während Benutzer eine ansonsten legitime Microsoft-Entra-Anmeldung durchführen, so Varonis Threat Labs. Die Forscher demonstrierten die als TrustSink bezeichnete Technik in einer Testumgebung.

Der Angriff setzt voraus, dass ein Hacker bereits die Kontrolle über ein hochprivilegiertes Entra-Konto besitzt. Er bietet keinen erstmaligen Zugang zu einer Organisation.

Externer Anbieter wird Teil des normalen Anmeldevorgangs

Microsoft Entra ermöglicht es Organisationen, externe Authentifizierungsanbieter für die Multi-Faktor-Authentifizierung zu verwenden. Nachdem ein Benutzer ein Passwort eingegeben hat, kann Entra den Browser für den zweiten Schritt zu einem konfigurierten Anbieter weiterleiten.

Der Anbieter sendet Entra anschließend ein signiertes Token, das angibt, ob der Benutzer diesen Schritt abgeschlossen hat. Akzeptiert Entra das Token, wird der Anmeldevorgang fortgesetzt.

Varonis stellte fest, dass ein Angreifer mit ausreichendem administrativem Zugriff eine bösartige External Authentication Method registrieren könnte. Anschließend könnte der Angreifer diesen Anbieter in den Authentifizierungsprozess ausgewählter Benutzer integrieren.

Gefälschte Passwortabfrage erfasst Zugangsdaten

Bei der Demonstration der Forscher gaben die Benutzer ihre Zugangsdaten zunächst auf der legitimen Anmeldeseite von Microsoft ein. Als Entra MFA anforderte, wurden sie zu dem vom Angreifer kontrollierten Anbieter weitergeleitet.

Anstatt nach einem zweiten Faktor zu fragen, zeigte der Anbieter eine überzeugende Kopie der Passwortabfrage von Microsoft an. Ein Benutzer, der sein Passwort erneut eingab, sendete es an den Server des Angreifers.

Der bösartige MFA-Anbieter gab anschließend ein signiertes Token zurück, das behauptete, der MFA-Schritt sei erfolgreich abgeschlossen worden. Dadurch schloss Entra die Anmeldung ab, und der Benutzer erreichte die Anwendung, die er öffnen wollte.

Varonis erklärte, dass die Anmeldungen in seiner Testumgebung normal erschienen, während der Server Passwörter sammelte. Die zusätzliche Passwortabfrage konnte plausibel wirken, da Benutzer sie zu einem Zeitpunkt sahen, an dem sie einen weiteren Authentifizierungsschritt erwarteten.

Passwortzurücksetzungen allein beseitigen die Bedrohung nicht

Die Registrierung der bösartigen Methode erfordert Zugriff auf ein Global-Administrator- oder Authentication-Policy-Administrator-Konto. Der Angreifer muss außerdem Änderungen vornehmen, die eine Anwendung, einen Dienstprinzipal und eine Authentifizierungsrichtlinie betreffen.

Nach der Konfiguration kann der Anbieter bei späteren Anmeldungen bestehen bleiben. Varonis stellte fest, dass das Zurücksetzen eines erfassten Passworts ihn nicht entfernte. Die bösartige Seite konnte das neue Passwort erfassen, wenn sich der Benutzer das nächste Mal anmeldete.

Daher sollten Administratoren, die dieses Szenario untersuchen, den nicht autorisierten Anbieter und die zugehörige Konfiguration entfernen, bevor sie die betroffenen Zugangsdaten ändern. Varonis empfiehlt außerdem, Änderungen an Authentifizierungsrichtlinien zu überwachen und dauerhaften Zugriff auf hochprivilegierte Administratorrollen zu beschränken.

Die Ergebnisse beschreiben eine Technik, die nach einer Kompromittierung eingesetzt werden kann. Varonis demonstrierte, was ein Angreifer nach Erlangung administrativer Kontrolle tun könnte. Der Bericht belegt nicht, dass TrustSink bei Angriffen auf Organisationen eingesetzt wurde.