Microsoft заблокировала фишинговую платформу EvilTokens, атаковавшую аккаунты Microsoft 365
Microsoft в рамках скоординированной операции изъяла 50 веб-сайтов и отключила более 150 доменов, связанных с фишинговой платформой EvilTokens, которая работала по модели «фишинг как услуга» и нацеливалась на учётные записи Microsoft 365. Сервис использовал легитимный механизм device code authentication для обхода MFA и кражи токенов доступа. Инцидент затрагивает организации, сотрудники которых могли столкнуться с поддельной страницей входа Microsoft.
Подробности
Ключевая особенность EvilTokens — эксплуатация легитимного механизма device code authentication, который Microsoft использует для входа на устройствах с ограниченным вводом (например, Smart TV, принтеры, IoT-устройства). При такой схеме пользователю предлагается перейти по ссылке и ввести одноразовый код, после чего устройство получает токен доступа к аккаунту. Злоумышленники злоупотребляли этим доверием: жертва получала фишинговое сообщение с просьбой «подтвердить вход» и вводила код на подконтрольной атакующим странице. В результате токен доступа выписывался на инфраструктуру злоумышленников — без пароля и без прохождения MFA. Такой подход обходит многофакторную аутентификацию, поскольку сам протокол device code flow изначально рассчитан на сценарии без интерактивного ввода пароля. Платформа работала по подписочной модели: клиенты EvilTokens получали панель управления, шаблоны фишинговых страниц, готовые домены и автоматизированную выдачу украденных токенов. Это снижало порог входа для атакующих — даже неопытные злоумышленники могли проводить кампании против корпоративных тенантов Microsoft 365. Затронутые продукты — облачные сервисы Microsoft 365 (Exchange Online, Teams, SharePoint, OneDrive и другие), доступ к которым возможен через устройство-код. Конкретные CVE в данном случае не фигурируют: уязвимость связана не с ошибкой в коде, а со злоупотреблением штатной функциональностью протокола аутентификации.Что делать
Организациям рекомендуется незамедлительно проверить журналы входов Azure AD / Entra ID на предмет событий с признаком device code flow, особенно если сотрудники не используют такие сценарии. Подозрительные признаки: входы из нетипичных геолокаций, устройств или в нерабочее время; выдача токенов без предшествующей успешной MFA-аутентификации. Стоит ограничить или полностью отключить device code flow для пользователей, которым он не нужен, через политики условного доступа (Conditional Access). Также полезно внедрить политики, требующие compliant-устройства или доверенные расположения для доступа к чувствительным ресурсам, и настроить оповещения о появлении новых OAuth-токенов в тенанте. Пользователей необходимо проинформировать: если кто-то просит ввести код на стороннем сайте для «подтверждения входа», это почти наверняка фишинг. Легитимные запросы device code всегда сопровождаются ссылкой на домен microsoft.com и понятным контекстом. Итог: EvilTokens наглядно демонстрирует, что MFA — не абсолютная защита, если атакующий эксплуатирует легитимные протоколы аутентификации. Контроль над тем, какие механизмы входа разрешены в тенанте, становится обязательной частью базовой гигиены ИБ.Источник: Dark Reading