Kali365 wykorzystuje legalne logowanie Microsoft do przejmowania kont firmowych - Security Bez Tabu

Kali365 wykorzystuje legalne logowanie Microsoft do przejmowania kont firmowych

Cybersecurity news

Wprowadzenie do problemu / definicja

Kali365 to zestaw phishingowy wymierzony w środowiska Microsoft 365, który nadużywa legalnego mechanizmu Microsoft Device Code Flow. W odróżnieniu od klasycznych kampanii wyłudzających hasła atak nie opiera się na fałszywej stronie logowania, lecz na skłonieniu ofiary do zatwierdzenia kodu urządzenia na autentycznym portalu Microsoft.

W praktyce oznacza to, że użytkownik sam inicjuje końcowy etap uwierzytelnienia na prawdziwej stronie dostawcy, a napastnik uzyskuje tokeny dostępu oraz odświeżania. To z kolei może otworzyć drogę do poczty, dokumentów, plików i innych usług chmurowych organizacji bez konieczności poznania hasła ofiary.

W skrócie

  • Kali365 celuje przede wszystkim w organizacje korzystające z Microsoft 365.
  • Atak wykorzystuje socjotechnikę i podszywanie się pod znane usługi, takie jak SharePoint, OneDrive czy DocuSign.
  • Ofiara wpisuje dostarczony kod na legalnej stronie logowania Microsoft.
  • Po autoryzacji napastnik może uzyskać dostęp do zasobów firmy za pomocą tokenów OAuth.
  • Tego typu aktywność bywa trudniejsza do wykrycia niż tradycyjny phishing haseł.

Kontekst / historia

Phishing wykorzystujący mechanizm device code nie jest zjawiskiem całkowicie nowym, jednak jego znaczenie rośnie wraz z przenoszeniem procesów biznesowych i zarządzania tożsamością do chmury. W klasycznym modelu cyberprzestępcy tworzyli fałszywe portale logowania, licząc na przejęcie poświadczeń lub kodów MFA.

Kali365 pokazuje zmianę podejścia. Celem nie jest bezpośrednia kradzież hasła, ale zmanipulowanie użytkownika tak, aby sam zatwierdził dostęp przy użyciu prawdziwego procesu Microsoft. Z perspektywy zespołów bezpieczeństwa to istotna różnica, ponieważ wiele tradycyjnych mechanizmów ochronnych koncentruje się głównie na wykrywaniu złośliwych domen, podrobionych formularzy i prób przechwytywania loginów.

W konsekwencji organizacje muszą coraz uważniej obserwować nie tylko sam moment logowania, lecz także cały kontekst autoryzacji, nietypowe przepływy OAuth oraz działania wykonywane po uzyskaniu sesji.

Analiza techniczna

Technika stosowana przez Kali365 składa się z kilku etapów. Najpierw ofiara trafia na przynętę przygotowaną tak, aby wyglądała jak zaufana usługa biznesowa lub obieg dokumentów. Strona nie musi przechwytywać hasła, jej zadaniem jest przekonanie użytkownika do wykonania dalszych kroków autoryzacyjnych.

Następnie użytkownik zostaje skierowany do legalnego procesu logowania Microsoft obsługującego Device Code Flow. Otrzymuje kod urządzenia przygotowany przez atakującego i jest proszony o jego wpisanie. Ponieważ portal logowania jest prawdziwy, cały proces może wydawać się bezpieczny i zgodny z firmowymi procedurami.

Po zatwierdzeniu żądania system wydaje tokeny OAuth, które napastnik może wykorzystać do uzyskania dostępu do konta i usług Microsoft 365. Szczególnie niebezpieczny jest token odświeżania, ponieważ może pozwalać na utrzymanie dostępu i pobieranie kolejnych tokenów dostępowych bez ponownego angażowania użytkownika.

To właśnie dlatego ten model omija część klasycznych wskaźników kompromitacji. Nie musi wystąpić logowanie do fałszywej domeny, przechwycenie hasła w formularzu ani bezpośrednie obejście MFA. Użytkownik autoryzuje żądanie samodzielnie, a z perspektywy systemu może to wyglądać jak poprawne użycie legalnej funkcji uwierzytelniania.

Sygnały ostrzegawcze mogą obejmować:

  • nietypowe użycie Device Code Flow,
  • niespodziewane zgody użytkownika na dostęp,
  • nowe sesje z nieoczekiwanych lokalizacji lub urządzeń,
  • dostęp do poczty i plików bez wcześniejszego wzorca aktywności,
  • próby dalszego nadużycia zaufanej tożsamości w usługach chmurowych.

Konsekwencje / ryzyko

Skutki udanego ataku mogą być poważne. Po przejęciu dostępu do Microsoft 365 cyberprzestępcy mogą czytać korespondencję, analizować załączniki, pobierać dokumenty i rozpoznawać relacje biznesowe organizacji. To tworzy dogodne warunki do dalszych oszustw, w tym ataków Business Email Compromise, manipulacji fakturami czy przejmowania wątków rozmów z klientami i partnerami.

Drugim obszarem ryzyka jest ujawnienie danych wrażliwych. Jedno konto użytkownika może prowadzić do dokumentacji projektowej, danych kadrowych, informacji o klientach, zasobów współdzielonych oraz elementów codziennych procesów operacyjnych. Im szersze uprawnienia ofiary, tym większy potencjalny zasięg incydentu.

Niebezpieczne jest również to, że wykrycie naruszenia może zostać opóźnione. Jeśli użytkownik kończy logowanie na autentycznej stronie Microsoft, zespoły SOC lub administratorzy nie zawsze zobaczą od razu klasyczne oznaki phishingu. Daje to atakującemu więcej czasu na utrzymanie dostępu, rekonesans i kolejne działania w środowisku chmurowym.

Rekomendacje

Organizacje korzystające z Microsoft 365 powinny traktować nadużycia Device Code Flow jako realny scenariusz ataku na tożsamość. Pierwszym krokiem powinna być ocena, czy ten mechanizm jest faktycznie potrzebny w danym środowisku. Jeśli nie istnieje uzasadniony przypadek biznesowy, warto rozważyć jego ograniczenie lub wyłączenie w ramach polityk dostępu i zarządzania tożsamością.

Równie ważne jest wzmocnienie monitoringu. Analiza logów Entra ID, zdarzeń logowania, zgód OAuth, tokenów odświeżania i nietypowych sesji może pomóc w szybszym wykrywaniu prób nadużyć. Dobre wyniki daje także korelacja telemetrii z poczty, SharePoint, OneDrive i Exchange z sygnałami pochodzącymi z warstwy tożsamości.

W praktyce warto wdrożyć następujące działania:

  • ograniczenie nadmiernych uprawnień użytkowników,
  • stosowanie zasady minimalnych uprawnień,
  • regularny przegląd aplikacji i zgód w Microsoft 365,
  • unieważnianie aktywnych sesji i tokenów po podejrzanych zdarzeniach,
  • automatyzację reakcji na kompromitację konta,
  • szkolenia użytkowników uwzględniające ryzyko wpisywania kodów na prawdziwych stronach dostawców.

W przypadku podejrzenia incydentu należy działać natychmiast:

  • unieważnić aktywne sesje i tokeny,
  • zresetować poświadczenia użytkownika,
  • przeanalizować logi logowania i dostępu do zasobów,
  • sprawdzić reguły pocztowe, przekierowania i aktywność w skrzynce,
  • zweryfikować pobrania plików i działania w SharePoint, OneDrive oraz Exchange,
  • ocenić, czy doszło do wtórnych prób oszustwa lub dalszej kompromitacji.

Podsumowanie

Kali365 dobrze pokazuje, że nowoczesny phishing coraz częściej koncentruje się nie na samym haśle, lecz na przejęciu zaufania do procesu uwierzytelniania. Nadużycie legalnego mechanizmu Microsoft Device Code Flow pozwala atakującym uzyskać dostęp do zasobów firmowych w sposób mniej oczywisty i potencjalnie bardziej trwały.

Dla organizacji oznacza to konieczność przesunięcia uwagi z klasycznego phishingu formularzowego na ochronę tożsamości, analizę zachowań użytkowników, kontrolę przepływów OAuth i szybkie reagowanie na anomalie. Skuteczna obrona wymaga połączenia polityk dostępu, telemetrii bezpieczeństwa, automatycznej detekcji oraz świadomego użytkownika.

Źródła