Microsoft 365 Phishing Ausfallkette: von Evilginx und öffentlichen Repos zu Gerätecode Missbrauch

Eine scheinbar triviale Entdeckung - ein öffentlicher Python-Server mit der Liste der Verzeichnisse aktiviert und eine lesbare .bash _ Geschichte - entwirft den Vorhang über drei Phishing-Kampagnen an Microsoft 365 und erlaubt Forschern, eine komplette Kette von Werkzeugen, Operatoren und Taktiken wieder aufzubauen. Diese kleine Betriebsstörung ist die moralische: Sicherheit wird in der Regel nicht durch eine einzige ausgeklügelte Explosion gebrochen, sondern durch eine Kombination von öffentlich verfügbaren Code, schlechte Betriebshygiene und Automatisierung, die die Einstiegsbarriere für unerfahrene Angreifer senkt.

In den analysierten Fällen wurden zwei technisch unterschiedliche Mechanismen verwendet, um den Zugang zu Unternehmenskonten zu erfassen: zum einen die auf Gabeln des Evilginx-Projekts (eine Proxy, die die reale Seite bewahrt, um den Benutzer zu täuschen und Sitzungs-Cookies zu erfassen) und zum anderen einen einen legitimen Missbrauch des OAuth-Flows, der als Gerätecode-Flow bekannt ist, der das Opfer dazu zwingt, den Start auf microsoft zu vervollständigen. Beide Ansätze sind gefährlich, erfordern aber unterschiedliche Abwehrmaßnahmen: Die erste wird mit phishing-resistenten MFA (FIDO2 / Passkeys) und Source-Bindung gemildert; die zweite erfordert bedingte Zugriffsrichtlinien, die den Gerätecode-Durchfluss blockieren oder begrenzen.

Es ist wichtig, dass alle Frames, die von den Betreibern verwendet wurden, öffentliche oder binäre vorkompilierte Gabeln in GitHub verteilt waren, einige mit Verbesserungen, um die Erkennung zu umgehen und die Gültigkeit von Cookies oder Token zu verlängern. Dies bestätigt einen Trend: Die Vermarktung von Phishing als Service und die massive Wiederverwendung von Code in öffentlichen Repositories ermöglichen effektive Kampagnen zu niedrigen Kosten und von Akteuren, die die Infrastruktur nicht von Grund auf entwickeln. Das ursprüngliche Repository von Evilginx bleibt eine bekannte und zugängliche Ressource: https: / / github.com / kgretzky / evilginx2.

Die praktischen Auswirkungen auf ein Microsoft 365 Sicherheitsteam sind klar und dringend. Erstens, nicht mit bedingten Zugangsrichtlinien, die den Gerätecodefluss einschränken, lässt eine offene Tür, die nicht mit der bloßen Implementierung von FIDO2 schließt. Microsoft dokumentiert zum Teil den Gerätecode-Flow und seine legitimen Verwendungen in Entwicklungen: https: / / learn.microsoft.com / azure / active-directory / entwickeln / v2-oauth2-device-code. Um Missbrauch zu mindern, ist der Bedienhebel Conditional Access: Erfinden, welche Anwendungen wirklich diesen Fluss benötigen, testen Sie eine Richtlinie im nur Reporting-Modus und verbieten Sie dann den Fluss, wo es nicht notwendig ist. Der allgemeine Leitfaden für Conditional Access und seine Fähigkeiten ist hier verfügbar: https: / / learn.microsoft.com / azure / active-directory / Conditional-access / Überblick.

Parallel dazu erfordert die AiTM-Proxies-Verteidigung den Einsatz von phishing-resistentem MFA und kontrolliert, dass der Login-Ursprung validiert wird. FIDO2 und Passwörter sind effektiv in der Blockierung der klassischen Evilginx, weil sie Authentifizierung zu einem legitimen Ursprung assoziieren; aber sie sind nicht genug auf eigene Faust, um Gerätecode Missbrauch zu decken. Darüber hinaus empfiehlt Microsoft das Hinzufügen von Continuous Access Evaluation, um Session-Reassessments zu zwingen, wenn ein gestohlenes Token von anormalen Standorten oder Bedingungen erscheint: https: / / learn.microsoft.com / azure / active-directory / continu-accesses-evaluation-overview.

Von der Erkennung und Jagd von Bedrohungen gibt es bestimmte Anzeichen zu priorisieren. Prüfen Sie die Anmeldedaten der Entrance (Azure AD) für erfrischende Tokenkonzessionen, die mit dem ID-Client des Office-Desktop-Clients verbunden sind d3590ed6-52b3-4102-aeff-aad2292ab01c wenn dieser Client nicht Teil der normalen Nutzungsbasis ist. Crucially, verfolgen Sie das Feld. Original Transfermethode und nicht nur das aktuelle Authentifizierungsereignis, da die durch Gerätecode initiierten Sitzungen diesen Trail behalten können, obwohl die spätere Authentifizierung ihn nicht mehr explizit zeigt.

In Endpunkten suchen Sie nach persistenten Geräten, die die Betreiber hinter ihrem Drehpunkt lassen, einschließlich RMM-Tools, die häufig eingesetzt werden, um den Zugang zu erhalten. In den untersuchten Fällen kann ein Agent namens XEOX (z.B. C:\\ Program Files (x86)\ XEOX\ xeox-agent _ x64.exe) und programmierte Aufgaben mit nachweisbaren Mustern. Diese Drucke variieren, so kombinieren Telemetrie EDR mit Signatur-Suche und Alarm über unbekannte Ausführbare oder neue Persistenz-Uhren.

Es gibt auch eine operative Lektion für Entwickler und Infrastruktur-Manager: nie ausstellen Verzeichnislisten oder sensible Informationen auf öffentlichen Servern, saubere Shell Histories und nicht Passwörter-Shops in Klartext auf Panels oder versionierten Dateien. Wenn ein öffentliches Repository vorkompilierte Geheimnisse oder Binäre enthält, die es dem kompletten Betrieb enthüllt: lernen Sie, sensible Daten aus Gits Geschichte zu entfernen und engagierte Anmeldeinformationen zu machen; GitHub erklärt hier, wie man Repositorien mit sensiblen Informationen behandelt: https: / / docs.github.com / en / Authentisierung / Konten- und Datensicherheit / Entfernungs-sensitive-data-from-a-repository.

In unmittelbarer Reaktion auf einen Verdacht: Reklamieren Sie Token und betroffenen Sitzungen, zwingen Sie das Auslaufen von Erfrischungs-Token, implementieren Sie die Conditional Access-Politik, die Geräte-Codefluss blockiert, wenn es nicht notwendig ist, Quarantäne und Waldall die mit RMM erkannten Endpunkte, und melden Sie Microsoft und die Dienstleister verpflichtet, Minderung und Rotationsinfrastruktur Blöcke zu koordinieren. Betrachten Sie es als "Containment + Härtung" Übung; Sperren von PIs und Domains ist nützlich, aber unzureichend, wenn die Richtlinien, die die Technik erlauben nicht korrigiert werden.

Die redaktionelle Schlussfolgerung ist, dass ein effektiver Schutz gegen diese Kampagnen zwei gleichzeitige Schichten erfordert: technische Richtlinien, die Protokollvektoren schließen (Blockgerätecode, wenn nicht benötigt und CAE anwenden) und operative Verbesserungen, die Lecks und schlechte Praktiken schließen (Repository-Kontrolle, Plattenreinigung, geheime Rotation). Solange das Phishing-Ökosystem weiterhin kommerziell und modular bleibt - mit polierten Gabeln, fertigen Binaren und modellgestützten Generationen - werden Organisationen, die glauben, dass die Bereitstellung von MFA und Benutzer-Trination ausreicht, ausgesetzt werden. Defense Microsoft 365 bedeutet heute die Kombination von resistenten MFA, gut gestalteten Conditional Access, Erkennung von Token-Anomalien und guten Sicherheitspraktiken auf Servern und Repositories.