Skadlig MFA-leverantör kan stjäla lösenord under legitima inloggningar

En skadlig MFA-leverantör kan stjäla lösenord medan användare genomför en i övrigt legitim Microsoft Entra-inloggning, enligt Varonis Threat Labs. Forskarna demonstrerade tekniken, som kallas TrustSink, i en testmiljö.

Attacken kräver att en hackare redan har kontroll över ett Entra-konto med höga privilegier. Den ger inte någon initial väg in i en organisation.

Extern leverantör blir en del av den normala inloggningsprocessen

Microsoft Entra låter organisationer använda externa autentiseringsleverantörer för multifaktorautentisering. Efter att en användare har angett ett lösenord kan Entra omdirigera webbläsaren till en konfigurerad leverantör för det andra steget.

Leverantören skickar sedan en signerad token till Entra som anger om användaren slutförde steget. Om Entra accepterar token fortsätter inloggningen.

Varonis upptäckte att en angripare med tillräcklig administrativ åtkomst kunde registrera en skadlig External Authentication Method. Angriparen kunde sedan placera leverantören i autentiseringsprocessen för utvalda användare.

Falsk lösenordsruta fångar upp inloggningsuppgifter

I forskarnas demonstration angav användarna först sina inloggningsuppgifter på Microsofts legitima inloggningssida. När Entra begärde MFA omdirigerades de till den angriparkontrollerade leverantören.

I stället för att be om en andra faktor visade leverantören en övertygande kopia av Microsofts lösenordsruta. En användare som angav sitt lösenord igen skickade det till angriparens server.

Den skadliga MFA-leverantören returnerade sedan en signerad token som hävdade att MFA-steget hade slutförts. Följaktligen slutförde Entra inloggningen och användaren nådde den applikation som de avsåg att öppna.

Varonis uppgav att inloggningarna i företagets testmiljö såg normala ut samtidigt som dess server samlade in lösenord. Den extra lösenordsrutan kunde verka trovärdig eftersom användarna möter den vid en tidpunkt då de förväntar sig ytterligare ett autentiseringssteg.

Enbart lösenordsåterställningar tar inte bort hotet

För att registrera den skadliga metoden krävs åtkomst till ett Global Administrator- eller Authentication Policy Administrator-konto. Angriparen måste också göra ändringar som involverar en applikation, ett tjänsthuvudnamn och en autentiseringspolicy.

När leverantören väl har konfigurerats kan den finnas kvar vid senare inloggningar. Varonis upptäckte att en återställning av ett fångat lösenord inte tog bort den. Den skadliga sidan kunde fånga upp det nya lösenordet nästa gång användaren loggade in.

Därför bör administratörer som utreder detta scenario ta bort den obehöriga leverantören och dess tillhörande konfiguration innan de byter berörda inloggningsuppgifter. Varonis rekommenderar också att övervaka ändringar i autentiseringspolicyer och begränsa permanent åtkomst till administratörsroller med höga privilegier.

Resultaten beskriver en teknik som används efter en kompromettering. Varonis demonstrerade vad en angripare skulle kunna göra efter att ha fått administrativ kontroll. Rapporten fastställer inte att TrustSink har förekommit i attacker mot organisationer.