Der dauerhafte Zugriff auf OAuth-Zulassungen und offene Sitzungen nach dem Engagement reicht nicht aus, um die

Die Bedrohung sieht nicht immer wie eine spektakuläre Explosion aus; sie tritt oft durch die Vordertür, weil jemand sie öffnet. In den letzten Wochen wurde ein wiederholtes Muster beobachtet, bei dem Angreifer Sozialtechnik mit legitimen Authentifizierungs- und Verwaltungsmechanismen kombinieren, um dauerhaften Zugang zu Unternehmenskonten und -umgebungen zu erhalten. Die häufigsten Vektoren sind keine Null-Tage-Schwachstellen, aber Berechtigungen von Benutzern oder Remote-Sitzungen, die nach einem Engagement offen bleiben. Dies ändert die Art und Weise, wie es beantwortet werden sollte: es ist nicht genug, um das Passwort zu ändern.

Technisch nutzen die häufigsten Missbräuche den Zustimmungsfluss von OAuth / SSO und die persistenten Sitzungen von Remote-Support-Tools oder Remote Access. Im Falle von OAuth fordert eine schädliche Anwendung oder eine geschmiedete Zustimmungsseite die Benutzerberechtigung auf, in ihrem Namen zu handeln; wenn der Nutzer akzeptiert, erhält die Anwendung Token (Zugriffstoken und oft aktualisieren Token), die es Ihnen erlauben, ohne das Passwort Zugriff zu behalten. Diese Token bestehen solange, bis sie explizit widerrufen oder abgelaufen sind, so dass eine Passwortänderung diesen Zugriff nicht unbedingt eliminiert. Ebenso verwenden Angreifer aktive Remote-Desktopsitzungen oder Support-Software (TeamViewer, AnyDesk, etc.), um einen direkten Kanal aufrechtzuerhalten: Das Schließen der lokalen Systemsitzung wird nicht immer die Remote-Control-Software-Autorisierung widerrufen.

Mehr "klassische" Techniken, die die Täuschung erleichtern, werden ebenfalls genutzt: Seiten mit sehr ähnlichen Domänen (typosquatting), Installationsanweisungen, die auf böswillige Installateure umleiten, und Dateien, die mit Links geteilt werden, die für die Anwendung Genehmigung oder Datenzugriff fragen. Parallel dazu verwenden Ransomware- und Identitätsdiebstahl-Kampagnen den Zugriff, der über diese Routen erhalten wurde, um Daten zu verschlüsseln, Informationen zu extrahieren oder Befehl und Steuerung (C2)-Server, die hinter legitimen Diensten versteckt sind, bereitzustellen.

Wer ist betroffen ist breit: Einzelnutzer, deren Cloud-Mail-Konto oder -Dienste der Schlüssel zu mehreren Plattformen sind; kleine und mittelständische Unternehmen, die an SaaS-Anwendungen und Mitarbeiter-delegierte Zustimmung delegieren; und große Organisationen, wenn SSO-Konfigurationen, Bewerbungs- und Zugriffsrichtlinien nicht gehärtet werden. Bestätigt: Berechtigungskonzessionen durch Benutzer und offene Remote-Sessions sind praktische und wiederkehrende Vektoren. Schätzung: Die tatsächliche Wirkung wird in Umgebungen multipliziert, in denen es Konten mit administrativen Rollen oder Zugang zu kritischen Vermögenswerten gibt; in solchen Fällen kann die Angriffskette zu Ransomware oder Massendatendiebstahl klettern. Unsicher: Die Gesamtskala der Simultankampagnen und die genaue Autorität jeder Operation dauert in der Regel Zeit, die von den Antwortteams und den Cloud-Lieferanten bestätigt werden.

Die praktischen Konsequenzen sind klar: persistenter Zugriff ohne Passwörter, Post- und Kontaktdiebstahl, Datei-Exfiltration, Back-Tür-Einrichtung (Permissionen, Service-Rektoren, API-Schlüssel) und Ransomware oder Betrug Ausführung. Ein entscheidender Punkt, der von Analysten berichtet wird, ist, dass Entfernen des Passworts nicht automatisch gelöscht Token ausgegeben oder Remote-Login-Verschlüsse, so offene Türen noch existieren wenn Zulassungen und aktive Sitzungen nicht widerrufen werden.

Was jetzt zu tun ist: konkrete Maßnahmen für einzelne Nutzer und für Sicherheitsbeamte.

Für jeden Benutzer: überprüfen Sie die Anwendungen mit Zugriff auf Ihr Konto und entfernen Sie die unbekannten oder unnötigen; überprüfen Sie aktive Sitzungen und schließen Sie diejenigen, die Sie nicht erkennen; aktivieren Sie die Überprüfung in zwei robusten Schritten (vorzugsweise ohne SMS: FIDO2-Tasten oder Authentifizierungs-Anwendungen); und akzeptieren Sie keine Bewerbungsberechtigungen, die einen weiten Zugriff auf Post, Dateien oder Kontakte verlangen, es sei denn, Sie vertrauen dem Entwickler. Google unterhält eine Seite, um vernetzte Anwendungen und Sitzungen zu verwalten, die als erster Schritt nützlich sind: Zugriff auf Sie verwalten Google-Konto. Darüber hinaus, wenn Sie Remote-Support-Tools verwenden, schließen und überprüfen Sie die Liste der autorisierten Geräte und melden Sie den Lieferanten, wenn Sie Missbrauch vermuten.

Für Ausrüstung und Unternehmen: Umsetzung von administrativen Zustimmungsrichtlinien, die die Fähigkeit der Nutzer, Nichteinhaltung von Drittanbieter-Anwendungen zu akzeptieren, ermöglichen weiße Listen zugelassener Anwendungen; Audit delegierte Zustimmung und Bereitstellung spezifischer Schulungen zum Einverständnis Phishing (wie man OAuths legitime Anträge gegen Nachahmungen erkennt). In Microsoft / Azure-Umgebungen überprüfen und verwalten Sie die Geschäftsanwendungsberechtigungen durch das Azure AD-Portal und erwägen Sie, die Erteilungsbewilligungen für verdächtige Anwendungen zurückzugeben; Microsoft bietet Dokumentationen, um die Zustimmungs- und Anwendungsberechtigungen in Azure AD zu verwalten: Bewerbungsbewilligung verwalten.

Weitere notwendige technische Maßnahmen umfassen die Verzicht auf die Schließung von Sitzungen und den Widerruf von Token nach Vorkommnissen (in einigen Lieferanten besteht die Möglichkeit, Refresh-Token oder "Revoke-Sitzungen") zu widerrufen, Legacy-Authentifizierungsprotokolle zu deaktivieren, die MFA nicht unterstützen, die bedingte Zugriffsrichtlinien (nach Standort, Gerät und Risiko), die Rotation von Schlüsseln und Anwendungssekreten und die Überwachung von Protokollen ermöglichen, um unvorgaben zu erkennen, unvorgaben unvorgaben, um unvorhergesehene primäre primäre Zustimmungs zu erkennen. Es ist auch eine gute Praxis, die Bewerbungsgenehmigungen auf das am wenigsten notwendige Privileg zu beschränken und EDR-Tools zu verwenden, um ungewöhnliche Datenübermittlungen oder die Ausführung administrativer Werkzeuge durch unberechtigte Prozesse zu erkennen und zu blockieren.

Kurz gesagt, die Normalität dieser Intrusionen - ein Anruf, eine gemeinsame Datei oder eine "Allow" Taste - erfordert, dass die erteilte Genehmigung als Sicherheitsrisiko an sich behandelt werden. Die effektive Antwort kombiniert den ausdrücklichen Widerruf von Genehmigungen und Sitzungen, die Verschärfung von Zustimmungspolitiken und präventive Kontrollen wie starke MFA und White Application Lists. Um zu überprüfen, was Sie bereits Zugang haben, bevor Sie etwas Neues hinzufügen, ist jetzt die praktischste und effiziente Regel, um die Angriffsfläche zu reduzieren.