Опять MFA подвел
Опять MFA подвел Huntress десять недель наблюдала за кампанией против Microsoft 365. С 14 июля по 22 сентября 2026 года атакующие успешно вошли в 79 организаций, совершив 497 входов, и зарегистрировали как минимум 48 поддельных устройств в Entra ID. При этом пароли они не подбирали. Техника называется token spraying и заключается в распыляют украденные сессионные токены по множеству аккаунтов, надеясь, что хоть один еще жив. Чтобы вектор сработал, сначала жертву ловят на поддельной странице входа (adversary-in-the-middle). Прокси-сервер пропускает через себя настоящую страницу Microsoft и запрос MFA, а после успешного входа забирает себе токен сессии. Этот токен выдан уже после двухфакторной аутентификации, поэтому тот, кто его держит, MFA больше не проходит. Дальше токен воспроизводится с чужих серверов. В данном случае из диапазона 193.26.115[.]0/24, принадлежащего немецкому хостингу 1337 Services GmbH. Урон атакующие наносили знатный. Кроме компрометации почты они стирали существующие методы MFA и регистрировали свои. Например, приложение аутентификатора с названием «iPhone 13». Меньше чем за час после первого входа в одном из инцидентов у жертвы уже стоял новый аутентификатор. И сброс пароля здесь уже не поможет. Да, токен умрет, но зарегистрированный метод аутентификации останется. Ну и на всякий случай уже десятки фейковых компьютеров с именами вроде DESKTOP-54521F46 тоже переживают смену пароля и позволяют запрашивать новые токены. Защита, по мнению Huntress, упирается в Conditional Access (привет Zero Trust). Причем настраивать его надо безусловно — для всех пользователей, всех приложений и всех клиентов. А вообще всегда полезно лишний раз проверить, не висит ли в вашем тенанте устройство с именем DESKTOP- и восемью hex-символами. Если висит, возможно, оно там не просто так. @antiinfosec