if ( !emtpy($headline_subheadline ) ) : ?>
Microsoft affirme que les acteurs malveillants se faisant passer pour le personnel du service d’assistance informatique incitent les employés à lancer des attaques de phishing et de code d’appareil qui conduisent à un accès persistant au cloud.
endif; ?>
Les attaquants utilisent l’ingénierie sociale sur le thème des mots de passe pour inciter les employés à leur donner accès à leurs comptes Microsoft.
Microsoft Security Research a déclaré qu’il surveillait depuis mai les intrusions actives dans le cloud, au cours desquelles des attaquants se sont fait passer pour le personnel du service d’assistance informatique, ont dit aux employés qu’ils devaient mettre à jour ou enregistrer un mot de passe, puis les ont dirigés vers des pages de phishing de l’adversaire du milieu (AiTM) ou des flux d’authentification par code d’appareil Microsoft.
La campagne a finalement donné aux attaquants l’accès à des identités cloud compromises, leur permettant d’enregistrer leurs propres méthodes d’authentification, de cartographier l’environnement Microsoft 365 de la victime et d’accéder aux fichiers et e-mails hébergés dans le cloud.
« La clé d’accès dans cette campagne est l’attrait, pas la faiblesse », a déclaré Jon Baker, vice-président de la défense informée sur les menaces chez AttackIQ. « Le MFA qui a été contourné était hameçonnable. De vrais mots de passe l’auraient arrêté. »
Identité compromise lors d’un appel au service d’assistance
Les attaques commencent généralement par un appel téléphonique ou un message envoyé au numéro de portable personnel d’un employé et provenant d’une personne prétendant appartenir au service d’assistance informatique de l’organisation. L’attaquant indique à l’employé qu’une clé d’accès, une configuration MFA ou SSO doit être mise à jour immédiatement pour éviter toute interruption.
La victime est ensuite redirigée vers un site Web qui ressemble à une page de connexion Microsoft. Dans les attaques AiTM, l’adversaire peut capturer les informations d’identification et les jetons de session. Dans les attaques par code de périphérique, la victime est invitée à saisir un code sur une page d’authentification Microsoft légitime, autorisant ainsi un client contrôlé par l’attaquant.
Microsoft affirme que l’interaction initiale peut laisser peu de preuves sur le point final, en particulier lorsque la victime ouvre le lien de phishing sur un appareil personnel qui n’est pas géré par Microsoft Defender for Endpoint.
Dans certains cas, les attaquants ont également utilisé des comptes déjà compromis pour envoyer des messages sur le thème d’un mot de passe via Microsoft Teams, donnant l’impression que les demandes proviennent d’un collègue de confiance.
La campagne ne se limite pas à un seul modèle d’attaque. Microsoft a également observé des cas dans lesquels des attaquants ont utilisé des informations d’identification et des méthodes MFA qui avaient apparemment été enregistrées quelques jours plus tôt, ce qui suggère que la persistance MFA avait déjà été établie.
Les attaquants ont enregistré leurs propres méthodes d’authentification
Une fois l’identité compromise, Microsoft a observé des attaquants enregistrant des méthodes d’authentification sous leur contrôle, notamment des numéros de téléphone, des applications d’authentification et des jetons OTP logiciels. Cela leur a donné un moyen de relever les futurs défis MFA sans l’utilisateur légitime.
Les attaquants ont ensuite utilisé Microsoft Graph pour énumérer les utilisateurs, les groupes, les rôles, les méthodes d’authentification, les applications et les ressources cloud. Ils ont ensuite migré vers SharePoint et OneDrive pour localiser et accéder aux fichiers, tandis que certaines intrusions impliquaient Exchange Online et l’accès au courrier électronique basé sur l’API REST.
« L’acteur enregistre sa propre méthode d’authentification, cartographie le locataire via Microsoft Graph et extrait les fichiers et le courrier à un rythme qui se lit comme celui d’un employé occupé », a déclaré Baker. « Aucun de ces appels n’est suspect en soi. La séquence l’est. »
Des signes d’automatisation ont été observés dans certains cas, notamment l’agent utilisateur « python-httpx » associé à un volume élevé d’activités SharePoint et OneDrive. Les attaquants ont également maintenu un rythme contrôlé, avec moins de 1 000 fichiers ou e-mails consultés en une heure, ce qui a potentiellement permis à l’activité de se fondre dans le comportement normal de l’entreprise.
Microsoft a recommandé de corréler les connexions inhabituelles avec les enregistrements de nouvelles méthodes d’authentification, la reconnaissance Graph et les activités anormales de SharePoint, OneDrive et Exchange. Il a également conseillé d’appliquer une MFA résistante au phishing via un accès conditionnel et de bloquer les flux de code d’appareil et de transfert d’authentification là où il n’y a pas de besoin commercial légitime.
