En skadelig MFA-leverandør kan stjele passord mens brukere gjennomfører en ellers legitim Microsoft Entra-pålogging, ifølge Varonis Threat Labs. Forskerne demonstrerte teknikken, kalt TrustSink, i et testmiljø.
Angrepet krever at en hacker allerede kontrollerer en Entra-konto med svært høye privilegier. Det gir ikke en innledende vei inn i en organisasjon.
Ekstern leverandør blir en del av den normale påloggingsprosessen
Microsoft Entra lar organisasjoner bruke eksterne autentiseringsleverandører for multifaktorautentisering. Etter at en bruker har skrevet inn et passord, kan Entra omdirigere nettleseren til en konfigurert leverandør for det andre trinnet.
Leverandøren sender deretter Entra et signert token som angir om brukeren fullførte dette trinnet. Hvis Entra godtar tokenet, fortsetter påloggingen.
Varonis fant ut at en angriper med tilstrekkelig administrativ tilgang kunne registrere en skadelig External Authentication Method. Angriperen kunne deretter plassere denne leverandøren i autentiseringsprosessen for utvalgte brukere.
Falsk passordforespørsel fanger opp påloggingsinformasjon
I forskernes demonstrasjon skrev brukerne først inn påloggingsinformasjonen sin på Microsofts legitime påloggingsside. Da Entra ba om MFA, ble de omdirigert til leverandøren som angriperen kontrollerte.
I stedet for å be om en andre faktor viste leverandøren en overbevisende kopi av Microsofts passordforespørsel. En bruker som skrev inn passordet sitt på nytt, sendte det til angriperens server.
Den skadelige MFA-leverandøren returnerte deretter et signert token som hevdet at MFA-trinnet var fullført. Dermed fullførte Entra påloggingen, og brukeren fikk tilgang til applikasjonen de hadde til hensikt å åpne.
Varonis sa at påloggingene i testmiljøet så normale ut samtidig som serveren samlet inn passord. Den ekstra passordforespørselen kunne virke troverdig fordi brukerne møter den på et tidspunkt hvor de forventer et nytt autentiseringstrinn.
Tilbakestilling av passord alene fjerner ikke trusselen
Registrering av den skadelige metoden krever tilgang til en Global Administrator- eller Authentication Policy Administrator-konto. Angriperen må også gjøre endringer som involverer en applikasjon, en tjenesteprinsipal og en autentiseringspolicy.
Når leverandøren først er konfigurert, kan den forbli på plass ved senere pålogginger. Varonis fant ut at tilbakestilling av et innhentet passord ikke fjernet den. Den skadelige siden kunne fange opp det nye passordet neste gang brukeren logget inn.
Derfor bør administratorer som undersøker dette scenarioet, fjerne den uautoriserte leverandøren og den tilhørende konfigurasjonen før de endrer berørte påloggingsopplysninger. Varonis anbefaler også å overvåke endringer i autentiseringspolicyer og begrense vedvarende tilgang til administratorroller med svært høye privilegier.
Funnene beskriver en teknikk som brukes etter en kompromittering. Varonis demonstrerte hva en angriper kunne gjøre etter å ha fått administrativ kontroll. Rapporten fastslår ikke at TrustSink har blitt brukt i angrep mot organisasjoner.
0 responses to “Skadelig MFA-leverandør kan stjele passord under legitime pålogginger”