En våg av attacker byggd på vardaglig tillit

Under hela augusti spårade säkerhetsforskare en kluster av cyberattacker i USA och Europa som inte förlitade sig på exotisk skadlig kod eller zero-day-exploater. Istället förvandlade angriparna de verktyg företag använder varje enda dag – Microsoft 365-inloggningar, mjukvara för fjärrövervakning och hantering (RMM) samt rutinmässiga affärsdokument – till vägar för intrång.

Det är detta som gör kampanjen anmärkningsvärd. Istället för att bryta igenom brandväggar eller utnyttja icke-patchad mjukvara lutade sig angriparna mot det faktum att anställda litar på de plattformar de loggar in på varje morgon och de leverantörer som fjärrstyr deras IT-system. Den tilliten, när den väl missbrukas, blir en av de mest effektiva attackytor som finns.

Hur Microsoft 365-sessionskapning fungerar

I centrum för denna kampanj finns en teknik som kallas sessionskapning. Istället för att stjäla ett användarnamn och lösenord direkt, fångar eller stjäl angriparna autentiseringstoken, eller "sessionscookien", som Microsoft 365 genererar efter att en användare framgångsrikt loggat in och genomfört flerfaktorsautentisering. Eftersom den token bevisar att sessionen redan är verifierad, kan en angripare som erhåller den i praktiken bli den inloggade användaren utan att någonsin behöva det ursprungliga lösenordet igen.

Detta är viktigt eftersom flerfaktorsautentisering, länge betraktad som ett starkt försvar mot stöld av autentiseringsuppgifter, inte stoppar en angripare som redan fångat en giltig session. Inloggningshändelsen har redan skett legitimt ur offrets perspektiv. Väl inne kan angripare komma åt e-post, delade filer, kalendrar och intern kommunikation kopplad till det Microsoft 365-kontot, ofta utan att utlösa de typer av varningar som ett misslyckat inloggningsförsök eller en notis om ny enhet skulle höja.

Fjärrhanteringsverktyg och affärsdokument som ingångspunkter

Samma augustikampanj lutade sig också mot mjukvara för fjärrövervakning och hantering (RMM), den typ av verktyg som IT-avdelningar och hanterade tjänsteleverantörer använder för att installera uppdateringar, felsöka problem och underhålla system på distans. När angripare får åtkomst till dessa verktyg, antingen genom att kapa autentiseringsuppgifter eller utnyttja svaga konfigurationer, ärver de samma nivå av betrodd åtkomst som en legitim IT-administratör skulle ha. Det kan innebära förmågan att pusha filer, köra kommandon eller röra sig över ett helt nätverk av anslutna enheter med minimal friktion.

Rutinmässiga affärsdokument spelade också en roll. Filer som ser ut som fakturor, kontrakt eller interna PM är fortfarande ett av de mest pålitliga sätten att få en anställd att klicka på en länk eller öppna en bilaga, just för att de inte ser misstänkta ut. I kombination med sessionskapning och RMM-missbruk kan ett enda övertygande dokument vara den första dominobrickan i ett mycket större intrång.

Detta mönster ekar en bredare trend inom brottsbekämpning av cyberbrott, där myndigheter i allt högre grad riktat in sig på infrastrukturen och individerna bakom storskaliga attacker snarare än bara enskilda incidenter. Sanktionsåtgärder som den mot Trickbot-ransomware-operationens administratör visar hur regeringar försöker störa ekosystemet som gör dessa kampanjer lönsamma, även när nya variationer på gamla tekniker fortsätter att dyka upp.

Vad detta innebär för dig

För de flesta individer är denna kampanj en påminnelse om att starka lösenord och till och med flerfaktorsautentisering inte är ett komplett skyddsnät om en sessions-token kan stjälas genom nätfiske eller skadlig kod. Särskilt för anställda på små och medelstora företag, där IT-resurser kan vara ansträngda och RMM-verktyg ofta används av externa leverantörer, är risken för denna typ av missbruk verklig.

Om du använder Microsoft 365 för arbete, var uppmärksam på oväntade uppmaningar att autentisera om, okända inloggningsplatser som flaggas i säkerhetsnotiser eller förfrågningar om att godkänna en enhet du inte känner igen. Om din organisation förlitar sig på en tredjeparts IT-leverantör som använder fjärrhanteringsprogramvara, är det värt att fråga hur den åtkomsten säkras och övervakas. Och som alltid, behandla oväntade dokument, särskilt de som uppmanar till snabb åtgärd, med sund skepsis innan du öppnar dem.

Handlingsbara slutsatser

  • Granska Microsoft 365-inloggningsaktivitetsloggar regelbundet och rapportera omedelbart okända sessioner eller platser.
  • Fråga din IT-leverantör eller interna team hur RMM-programvarans åtkomst autentiseras och om sessionsövervakning finns på plats.
  • Undvik att öppna oväntade affärsdokument, fakturor eller bilagor utan att verifiera avsändaren genom en separat kanal.
  • Överväg att aktivera principer för villkorlig åtkomst och kortare sessions-timeout-fönster för molnkonton där det är möjligt.
  • Håll dig informerad om hur angripare anpassar sig för att kringgå flerfaktorsautentisering, eftersom Microsoft 365-sessionskapning visar att MFA ensamt inte är ett garanterat försvar.

Augustvågen av attacker krävde inte sofistikerad ny skadlig kod för att lyckas. Den lyckades genom att utnyttja den vardagliga tillit företag sätter till välbekanta inloggningar, välbekanta leverantörer och välbekanta filtyper. Att förbli vaksam inför den verkligheten är ett av de enklaste och mest effektiva försvaren som finns.