Huntress: atac de tip password-spraying asupra Microsoft 365 a generat peste 81 de milioane de autentificări - 78 de conturi compromise în 64 de organizații, prin ocolirea MFA cu ROPC

Un val de atacuri de tip „ password spraying ” a generat peste 81 de milioane de încercări de autentificare în medii Microsoft 365 în doar două săptămâni , iar o parte dintre compromiteri au fost posibile prin politici de acces condiționat configurate astfel încât să nu acopere un flux de autentificare care poate ocoli autentificarea cu mai mulți factori (MFA), potrivit Bleeping Computer . Atacatorul a încercat să se autentifice prin interfața de linie de comandă Azure ( Azure CLI ), folosind combinații încă valide de utilizator și parolă expuse în breșe mai vechi. Azure CLI este folosită de administratori pentru gestionarea resurselor din cloud (mașini virtuale, aplicații, baze de date și automatizări). Odată găsite credențiale valide, autentificarea a fost realizată prin mecanismul OAuth numit ROPC (Resource Owner Password Credentials). Conform analizei, acest flux poate ocoli MFA în multe organizații atunci când politicile de „Conditional Access” (acces condiționat) sunt incomplete sau aplicate greșit. Ce impact operațional au observat cercetătorii Compania de securitate administrată Huntress spune că a urmărit campania între 12 și 26 iunie și a confirmat compromiterea a 78 de conturi Microsoft din 64 de organizații. În același timp, Huntress a raportat o creștere de peste 155 de ori a atacurilor de tip password spraying, organizațiile ajungând să înregistreze, în medie, 1.964 de încercări eșuate de autentificare pe „tenant” (instanță/organizație Microsoft 365) în fiecare lună. Unde au cedat politicile de securitate Huntress afirmă că multe dintre companiile compromise aveau MFA implementat prin politici de acces condiționat, însă MFA nu era configurat să acopere fluxul folosit de atacatori. Publicația citează explicația Huntress privind limitările ROPC: „ROPC este considerat problematic din mai multe motive, dar unul dintre ele este că nu oferă suport pentru fluxuri moderne de autentificare precum MFA sau SSO.” „Asta înseamnă că, așa cum am văzut în această campanie, ROPC trimite parola direct către endpoint-ul /token, fără o solicitare interactivă de MFA.” Printre configurările greșite menționate se numără: MFA aplicat doar unor aplicații specifice, nu pentru „All Cloud Apps”; MFA impus doar pentru anumite grupuri de utilizatori (de exemplu, administratori); MFA cerut doar din locații „neîncrezătoare”, permițând trafic din IP-uri care par din locații de încredere; politici setate în modul „report-only” (doar raportare), fără aplicare efectivă. În unele cazuri, cercetătorii spun că nu exista deloc o politică MFA. Cine ar fi în spatele campaniei Nu este clar cine a derulat atacurile. Huntress notează însă că activitatea ar proveni dintr-un interval IPv6 deținut de LSHIY LLC (AS32167). Cercetătorii au transmis constatările către LSHIY prin portalul de raportare a abuzurilor, dar nu primiseră un răspuns la momentul publicării raportului. [...]