Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Greatness to platforma phishing-as-a-service (PhaaS), która udostępnia cyberprzestępcom gotowe narzędzia do prowadzenia kampanii wyłudzających w modelu abonamentowym. Najnowsza wersja tego zestawu została rozszerzona o phishing typu device code, czyli technikę wykorzystującą legalny mechanizm OAuth 2.0 Device Authorization Grant do przejęcia tokenów uwierzytelniających.
To istotna zmiana w krajobrazie zagrożeń, ponieważ atak nie musi już opierać się na klasycznym fałszywym formularzu logowania. Zamiast kraść hasło, napastnik nakłania ofiarę do autoryzacji sesji, a następnie przejmuje tokeny dostępu, co może pozwolić ominąć wieloskładnikowe uwierzytelnianie w środowiskach Microsoft 365.
W skrócie
- Greatness został rozbudowany o moduł phishingu device code.
- Ataki są wymierzone m.in. w konta Microsoft 365.
- Mechanizm pozwala przejmować tokeny zamiast samych poświadczeń.
- Ofiara loguje się na prawdziwej stronie dostawcy tożsamości, co utrudnia wykrycie oszustwa.
- Po kompromitacji atakujący mogą uzyskać szybki dostęp do Outlooka, Teams, SharePointa i OneDrive.
Kontekst / historia
Greatness był już wcześniej opisywany jako komercyjny zestaw PhaaS wykorzystywany przeciwko użytkownikom biznesowym Microsoft 365. Tego typu platformy znacząco obniżyły próg wejścia do cyberprzestępczości, ponieważ oferują przestępcom gotową infrastrukturę, szablony przynęt, panel operatorski oraz wsparcie w prowadzeniu kampanii na dużą skalę.
Rozwój Greatness wpisuje się w szerszy trend ewolucji phishingu. Najpierw dominowały ataki nastawione na przechwytywanie loginów i haseł. Następnie popularność zdobyły kampanie adversary-in-the-middle, które przejmują sesje w czasie rzeczywistym. Obecnie coraz większą rolę odgrywają ataki device code, ponieważ wykorzystują legalne procesy logowania i autoryzacji, a przez to są trudniejsze do rozpoznania zarówno dla użytkownika, jak i dla części systemów ochronnych.
Analiza techniczna
Phishing device code nadużywa mechanizmu przeznaczonego dla urządzeń o ograniczonych możliwościach wprowadzania danych, takich jak telewizory, terminale czy inne urządzenia bez wygodnej klawiatury. W normalnym scenariuszu użytkownik otrzymuje krótki kod i wpisuje go na prawidłowej stronie logowania dostawcy tożsamości, aby powiązać urządzenie ze swoim kontem.
W scenariuszu ataku napastnik inicjuje taki proces, a następnie przekonuje ofiarę do wpisania kodu pod wiarygodnym pretekstem, na przykład rzekomego dostępu do dokumentu, wiadomości głosowej lub zasobu firmowego. Ponieważ użytkownik loguje się na legalnej stronie Microsoftu lub innego dostawcy tożsamości, nie widzi typowych oznak fałszerstwa, które zwykle zdradzają klasyczny phishing.
Po zakończeniu autoryzacji atakujący uzyskuje tokeny dostępu powiązane z sesją ofiary. To właśnie ten etap sprawia, że metoda może skutecznie omijać wiele wdrożeń MFA, ponieważ użytkownik sam zatwierdza prawidłowo wyglądający proces logowania. Z perspektywy obrony problemem nie jest obejście samego mechanizmu MFA w sensie kryptograficznym, lecz nadużycie legalnego przepływu, który kończy się wydaniem ważnych tokenów.
Z dostępnych analiz wynika, że Greatness łączy kilka technik w jednej platformie operacyjnej. Oprócz phishingu device code wspiera także AiTM, kradzież poświadczeń i tokenów oraz nadużycia związane z ekranami zgody OAuth. Panel operatorski ma zawierać statystyki kampanii, konfigurację domen, ustawienia CAPTCHA oraz bibliotekę gotowych szablonów przynęt, w tym warianty związane z pocztą głosową, dokumentami i kodami QR.
Łańcuch dostarczenia ofiary do właściwego etapu ataku może obejmować wieloetapowe przekierowania, ochronę przed analizą, fingerprinting User-Agent oraz bramkę CAPTCHA. Tego rodzaju mechanizmy utrudniają pracę analitykom, ograniczają skuteczność systemów sandboxowych i pomagają odsiać automatyczne skanery bezpieczeństwa. Po przejęciu tokenów operatorzy szybko przechodzą do działań po kompromitacji, takich jak przegląd skrzynek pocztowych, kontaktów, kalendarzy, plików oraz odpytywanie zasobów przez Microsoft Graph API.
Konsekwencje / ryzyko
Najpoważniejszą konsekwencją jest przejęcie konta mimo obecności MFA. Dla wielu organizacji to ważny sygnał ostrzegawczy: samo wdrożenie wieloskładnikowego uwierzytelniania nie zapewnia pełnej ochrony przed nowoczesnym phishingiem opartym na tokenach i legalnych przepływach autoryzacji.
Skutki biznesowe mogą być bardzo poważne. Przejęte konto może dać napastnikom dostęp do korespondencji, dokumentów, danych klientów, informacji finansowych oraz wewnętrznej komunikacji zespołowej. Dodatkowo skompromitowana skrzynka pocztowa może zostać wykorzystana do dalszego rozsyłania wiarygodnych wiadomości phishingowych wewnątrz organizacji lub do partnerów zewnętrznych.
Ryzyko obejmuje również utrzymanie dostępu przez dłuższy czas dzięki ważnym tokenom, rejestrowanie nowych urządzeń, tworzenie reguł skrzynki pocztowej oraz próby eskalacji uprawnień w środowisku chmurowym. Problem pogłębia fakt, że wiele działań po uwierzytelnieniu może wyglądać jak standardowa aktywność użytkownika, jeśli monitoring tożsamości i sesji nie jest odpowiednio dojrzały.
Rekomendacje
Organizacje powinny najpierw ustalić, czy przepływ device code jest rzeczywiście potrzebny w ich środowisku. Jeżeli nie jest niezbędny biznesowo, warto rozważyć jego blokowanie albo silne ograniczenie przy użyciu polityk dostępu warunkowego i zasad ochrony tożsamości.
Kluczowe znaczenie ma także wdrożenie phishing-resistant MFA wszędzie tam, gdzie jest to możliwe. Mechanizmy takie jak FIDO2, passkeys czy uwierzytelnianie certyfikatowe znacząco zmniejszają ryzyko skutecznego przejęcia sesji w porównaniu z metodami opartymi na kodach jednorazowych lub powiadomieniach push.
- Monitorować nietypowe użycie przepływów OAuth device authorization.
- Analizować nowe rejestracje urządzeń po udanym logowaniu.
- Wykrywać użycie Microsoft Graph API bezpośrednio po uwierzytelnieniu.
- Korelować logowania z nowymi adresami IP, serwerami proxy i nietypowymi lokalizacjami.
- Sprawdzać tworzenie reguł skrzynki pocztowej oraz masowy dostęp do danych po zalogowaniu.
- Regularnie przeglądać wyjątki w systemach pocztowych, listy safe sender i relacje zaufania wobec zewnętrznych dostawców.
Nie mniej ważna pozostaje edukacja użytkowników. Pracownicy powinni wiedzieć, że niespodziewana prośba o wpisanie krótkiego kodu uwierzytelniającego, nawet jeśli prowadzi do prawdziwej strony logowania, może być elementem ataku. Szkolenia muszą więc obejmować nie tylko rozpoznawanie fałszywych stron, ale również nadużycia legalnych procesów logowania i autoryzacji.
Podsumowanie
Greatness pokazuje, jak szybko ekosystem phishing-as-a-service dostosowuje się do zabezpieczeń opartych na MFA. Dodanie phishingu device code oznacza przejście od prostego wyłudzania haseł do bardziej zaawansowanego przejmowania tokenów i sesji przy użyciu legalnych mechanizmów OAuth.
Dla zespołów bezpieczeństwa to wyraźny sygnał, że ochrona tożsamości nie może ograniczać się wyłącznie do haseł i samego procesu logowania. Skuteczna obrona wymaga kontroli przepływów autoryzacji, monitorowania ważności tokenów, nadzoru nad rejestracją urządzeń, analizy aktywności po uwierzytelnieniu oraz wdrażania odpornych na phishing metod MFA.