Microsoft сообщила о серии атак хакерских группировок, включая ShinyHunters и Helix, на корпоративные учетные записи. Злоумышленники используют методы социальной инженерии, выдавая себя за сотрудников IT-поддержки, и требуют от работников обновить настройки Passkey, MFA или SSO под угрозой потери доступа к системе.
Для кражи учетных данных хакеры используют фишинговые сайты, имитирующие страницы входа Microsoft. Применяя технику «посредника» (AiTM), они перехватывают сессионные токены. В ряде случаев злоумышленники используют фишинг через коды устройств, что позволяет получить OAuth-токены и обходить многофакторную аутентификацию.
После взлома хакеры проводят разведку с помощью Microsoft Graph и автоматизированных систем на Node.js. Они собирают данные об организации, ролях пользователей, файлах в SharePoint и OneDrive, а также содержимом почты. Для закрепления в системе злоумышленники добавляют собственные методы MFA, включая сторонние номера телефонов.
Кража данных автоматизирована: чтобы не привлекать внимания, хакеры скачивают менее 1000 файлов или писем в час, растягивая процесс на несколько дней. Компрометация одного аккаунта может открыть доступ к связанным облачным сервисам, таким как Salesforce, Slack, SAP, Google Workspace, Dropbox, Adobe, Zendesk и Atlassian.
Microsoft рекомендует компаниям отслеживать аномальные входы, регистрацию новых методов MFA и подозрительную активность в Microsoft Graph. В качестве мер защиты предлагается внедрить устойчивую к фишингу аутентификацию, ограничить доступ к облачным ресурсам с помощью управляемых устройств и отключить функцию аутентификации по коду устройства.
