Sierpniowa fala ataków przejęła sesje Microsoft 365 poprzez nadużycie narzędzi RMM

Fala ataków zbudowana na codziennym zaufaniu

Przez cały sierpień badacze bezpieczeństwa śledzili grupę cyberataków w Stanach Zjednoczonych i Europie, które nie opierały się na egzotycznym złośliwym oprogramowaniu ani exploitach typu zero-day. Zamiast tego atakujący zamienili narzędzia, których firmy używają każdego dnia — logowania do Microsoft 365, oprogramowanie do zdalnego monitorowania i zarządzania (RMM) oraz rutynowe dokumenty biznesowe — w ścieżki prowadzące do kompromitacji.

To właśnie sprawia, że kampania ta jest godna uwagi. Zamiast przebijać się przez zapory ogniowe czy wykorzystywać niezaktualizowane oprogramowanie, atakujący oparli się na fakcie, że pracownicy ufają platformom, do których logują się każdego ranka, oraz dostawcom, którzy zdalnie zarządzają ich systemami IT. To zaufanie, gdy zostanie nadużyte, staje się jednym z najskuteczniejszych wektorów ataku.

Jak działa przejmowanie sesji Microsoft 365

W centrum tej kampanii znajduje się technika znana jako przejmowanie sesji. Zamiast kraść nazwę użytkownika i hasło wprost, atakujący przechwytują lub kradną token uwierzytelniający, czyli „ciasteczko sesji", które Microsoft 365 generuje po pomyślnym zalogowaniu użytkownika i ukończeniu uwierzytelniania wieloskładnikowego. Ponieważ token ten potwierdza, że sesja została już zweryfikowana, atakujący, który go zdobędzie, może skutecznie stać się zalogowanym użytkownikiem, nie potrzebując już nigdy oryginalnego hasła.

Ma to znaczenie, ponieważ uwierzytelnianie wieloskładnikowe, od dawna uważane za silną obronę przed kradzieżą danych uwierzytelniających, nie powstrzymuje atakującego, który już przechwycił ważną sesję. Zdarzenie logowania miało już miejsce legalnie z perspektywy ofiary. Gdy atakujący znajdzie się w środku, może uzyskać dostęp do wiadomości e-mail, udostępnionych plików, kalendarzy i wewnętrznej komunikacji powiązanej z tym kontem Microsoft 365, często bez wywoływania alertów, które pojawiłyby się przy nieudanej próbie logowania lub powiadomieniu o nowym urządzeniu.

Narzędzia do zdalnego zarządzania i dokumenty biznesowe jako punkty wejścia

Ta sama sierpniowa kampania opierała się również na oprogramowaniu do zdalnego monitorowania i zarządzania (RMM) — rodzaju narzędzi, których działy IT i dostawcy usług zarządzanych używają do instalowania aktualizacji, rozwiązywania problemów i utrzymywania systemów zdalnie. Gdy atakujący uzyskują dostęp do tych narzędzi, czy to przez przejęcie danych uwierzytelniających, czy wykorzystanie słabych konfiguracji, dziedziczą ten sam poziom zaufanego dostępu, jaki miałby legalny administrator IT. Może to oznaczać możliwość przesyłania plików, uruchamiania poleceń lub poruszania się po całej sieci podłączonych urządzeń przy minimalnym tarciu.

Rutynowe dokumenty biznesowe również odegrały rolę. Pliki, które wyglądają jak faktury, umowy czy notatki wewnętrzne, wciąż są jednym z najbardziej niezawodnych sposobów na skłonienie pracownika do kliknięcia linku lub otwarcia załącznika, właśnie dlatego, że nie wyglądają podejrzanie. W połączeniu z przejmowaniem sesji i nadużyciem RMM jeden przekonujący dokument może być pierwszą kostką domina w znacznie większej penetracji.

Ten wzorzec odzwierciedla szerszy trend w egzekwowaniu prawa dotyczącego cyberprzestępczości, gdzie władze coraz częściej celują w infrastrukturę i osoby odpowiedzialne za ataki na dużą skalę, a nie tylko w pojedyncze incydenty. Działania sankcyjne, takie jak to przeciwko administratorowi operacji ransomware Trickbot, pokazują, jak rządy próbują zakłócić ekosystem, który czyni te kampanie dochodowymi, nawet gdy pojawiają się nowe warianty starych technik.

Co to oznacza dla Ciebie

Dla większości osób ta kampania jest przypomnieniem, że silne hasła, a nawet uwierzytelnianie wieloskładnikowe, nie są kompletną siatką bezpieczeństwa, jeśli token sesji może zostać skradziony poprzez phishing lub złośliwe oprogramowanie. Szczególnie dla pracowników małych i średnich firm, gdzie zasoby IT mogą być ograniczone, a narzędzia RMM są powszechnie używane przez zewnętrznych dostawców, ryzyko tego rodzaju nadużyć jest realne.

Jeśli używasz Microsoft 365 do pracy, zwracaj uwagę na nieoczekiwane prośby o ponowne uwierzytelnienie, nieznane lokalizacje logowania oznaczone w powiadomieniach bezpieczeństwa lub prośby o zatwierdzenie urządzenia, którego nie rozpoznajesz. Jeśli Twoja organizacja polega na zewnętrznym dostawcy IT korzystającym z oprogramowania do zdalnego zarządzania, warto zapytać, w jaki sposób ten dostęp jest zabezpieczony i monitorowany. I jak zawsze, podchodź do nieoczekiwanych dokumentów, zwłaszcza tych nakłaniających do szybkiego działania, ze zdrową dozą sceptycyzmu przed ich otwarciem.

Praktyczne wnioski

• Regularnie przeglądaj dzienniki aktywności logowania do Microsoft 365 i natychmiast zgłaszaj nieznane sesje lub lokalizacje.
• Zapytaj swojego dostawcę IT lub zespół wewnętrzny, w jaki sposób uwierzytelniany jest dostęp do oprogramowania RMM i czy wdrożone jest monitorowanie sesji.
• Unikaj otwierania nieoczekiwanych dokumentów biznesowych, faktur lub załączników bez zweryfikowania nadawcy osobnym kanałem komunikacji.
• Rozważ włączenie zasad dostępu warunkowego i krótszych limitów czasu sesji dla kont w chmurze, jeśli to możliwe.
• Bądź na bieżąco z tym, jak atakujący dostosowują się do omijania uwierzytelniania wieloskładnikowego, ponieważ przejmowanie sesji Microsoft 365 pokazuje, że samo MFA nie jest gwarantowaną obroną.

Sierpniowa fala ataków nie wymagała do sukcesu wyrafinowanego nowego złośliwego oprogramowania. Osiągnęła sukces, wykorzystując codzienne zaufanie, jakie firmy pokładają w znajomych logowaniach, znajomych dostawcach i znajomych typach plików. Zachowanie czujności wobec tej rzeczywistości jest jedną z najprostszych i najskuteczniejszych dostępnych obron.