Nowa metoda ataku na zabezpieczenia Microsoft Entra
Specjaliści ds. cyberbezpieczeństwa zidentyfikowali lukę w usłudze Microsoft Entra (dawniej Azure Active Directory), która pozwala atakującym na weryfikację skradzionych danych uwierzytelniających. Problem, określany jako spoofing identyfikatora klienta OAuth (OAuth Client ID Spoofing), umożliwia przestępcom sprawdzenie, czy przejęte przez nich nazwy użytkowników i hasła są poprawne, bez ryzyka zablokowania konta przez mechanizmy bezpieczeństwa.
Mechanizm ten wykorzystuje sposób, w jaki aplikacje zewnętrzne komunikują się z usługami Microsoftu za pośrednictwem protokołu OAuth. Zamiast bezpośrednio logować się do panelu użytkownika, co mogłoby wywołać alerty w systemach monitorujących, atakujący podszywają się pod legalne aplikacje. Dzięki temu mogą weryfikować dane dostępowe w sposób, który dla systemów obronnych wygląda jak standardowa aktywność autoryzacyjna.
Jak działa mechanizm spoofingu
W typowym scenariuszu ataku, przestępcy wykorzystują fakt, że niektóre aplikacje zarejestrowane w ekosystemie Microsoft Entra nie wymagają rygorystycznej weryfikacji tożsamości klienta przy próbie logowania. Proces ten przebiega w kilku krokach:
- Atakujący pozyskuje bazę skradzionych danych logowania, na przykład z wycieków z innych serwisów.
- Wykorzystuje identyfikator klienta (Client ID) znanej, zaufanej aplikacji, aby zainicjować proces autoryzacji OAuth.
- Wysyła żądanie uwierzytelnienia do serwerów Microsoftu, podstawiając skradzione dane użytkownika.
- Na podstawie odpowiedzi serwera (np. komunikatu o błędzie lub sukcesie), atakujący otrzymuje potwierdzenie, czy dane są poprawne.
Kluczowym zagrożeniem jest tutaj fakt, że proces ten pozwala na masowe sprawdzanie danych (tzw. credential stuffing) przy użyciu zautomatyzowanych narzędzi. Ponieważ żądania pochodzą od „aplikacji”, a nie bezpośrednio z przeglądarki użytkownika, tradycyjne metody wykrywania podejrzanych logowań często zawodzą.
Znaczenie luki dla bezpieczeństwa firm
Choć sama metoda nie pozwala na bezpośrednie przejęcie kontroli nad kontem bez dodatkowych kroków, stanowi ona krytyczny etap przygotowawczy dla bardziej zaawansowanych ataków. Potwierdzenie poprawności danych logowania pozwala przestępcom skupić swoje zasoby na kontach, które z pewnością są aktywne i podatne na dalsze działania, takie jak próby obejścia uwierzytelniania wieloskładnikowego (MFA) czy ataki typu phishing.
Eksperci podkreślają, że problem ten uwypukla słabość polegającą na nadmiernym zaufaniu do identyfikatorów aplikacji wewnątrz środowisk chmurowych. Warto zauważyć, że w kontekście kosztów związanych z bezpieczeństwem, narzędzia wykorzystywane przez cyberprzestępców do tego typu działań są często oferowane na czarnym rynku w cenach zaczynających się od około 200 dolarów (ok. 800 złotych), co czyni je dostępnymi nawet dla mniej zaawansowanych grup przestępczych.
Dla administratorów systemów IT kluczowe staje się monitorowanie logów pod kątem nietypowych żądań OAuth oraz ograniczanie uprawnień aplikacji zewnętrznych, które mają dostęp do zasobów firmowych. Regularne przeglądy zarejestrowanych aplikacji oraz wymuszanie silnych polityk dostępu pozostają najskuteczniejszymi metodami mitygacji ryzyka związanego z tym typem nadużyć.
