Valódi Microsoft-bejelentkezéssel csalják ki a fiókhoz való hozzáférést
Egy adathalász-üzenetben kapott kóddal a Microsoft valódi oldalán is a támadó eszközének adhat hozzáférést az áldozat. A Microsoft 365-fiókokat célzó kampányban feltört postafiókokból is érkeznek levelek, a módszer mögött pedig feltehetően az EvilTokens eszköztár áll.
Árajánlatkérésnek álcázták az egyik levelet
A beszámolóban bemutatott üzenet egy fiktív építkezéshez kér árajánlatot, és PDF-mellékletet is tartalmaz. A linkelt oldal arra kéri a címzettet, hogy egy megjelenített kóddal igazolja magát a Microsoft-fiókjában.
A módszer más csalik mögött is megjelenhet: számlának, megosztott dokumentumnak, naptármeghívónak vagy SharePoint-hozzáférési kérésnek álcázott üzenet is elvezethet a megtévesztő oldalra. Az ott látható kód 15 percig érvényes.
A kampány és az EvilTokens közötti kapcsolat feltételezés. Az eszköztárat Microsoft 365-fiókok megszerzésére kínálják, és a leírtakhoz hasonló módszert használ.
A kód a támadó munkamenetét engedélyezi
A csaló oldal a valódi microsoft.com/devicelogin bejelentkezési oldalra irányítja az áldozatot. Az ott megadott kód azonban nem azt igazolja, amire az üzenet alapján számít: a támadó által indított munkamenetet engedélyezi.
A módszer az OAuth 2.0 eszközökhöz készült engedélyezési folyamatával él vissza. Az OAuth 2.0 olyan keretrendszer, amellyel egy alkalmazás jóváhagyással korlátozott hozzáférést kaphat egy webes szolgáltatáshoz.
A sikeres bejelentkezés után a Microsoft hozzáférési és megújítási tokeneket állít ki a támadó munkamenetéhez. A kétfaktoros azonosítás sem védi meg a fiókot ettől a módszertől, ha az áldozat végigmegy a megtévesztő folyamaton.
Levelekhez és fájlokhoz is hozzáférhetnek
A megszerzett hozzáféréssel a támadók a fiókhoz tartozó vállalati e-maileket és fájlokat, valamint a Teams, a SharePoint és a OneDrive erőforrásait is elérhetik. A beszámoló szerint adatokat vihetnek el, vagy további, üzleti levelezésre építő támadásokat készíthetnek elő.
A felismerésnél nem elég a bejelentkezési oldal címét nézni: ebben a csalásban maga a Microsoft oldala valódi. A gyanús rész az előtte kapott üzenet és a másik oldalon megjelenített kód megadására kérő felszólítás.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum