Атака с повторным использованием токенов Microsoft 365 затронула 79 организаций

Специалисты компании Huntress рассказали о кампании против Microsoft 365, в которой атакующие не подбирали пароли, а перехватывали и повторно использовали токены сессий. В период с 14 июля по 22 сентября 2026 года исследователи зафиксировали 497 успешных входов в 79 организациях — на фоне более чем 200 000 неудачных попыток, прослеживаемых к диапазону адресов 193.26.115[.]0/24. В итоге были скомпрометированы 97 учётных записей и зарегистрированы 48 поддельных устройств в Entra.

Как это работает

Между жертвой и настоящей инфраструктурой Microsoft размещается фальшивая страница входа по схеме «противник посередине» (AitM). Она перехватывает введённые учётные данные и коды многофакторной аутентификации и передаёт их на подлинный сервер. Главная цель — заполучить выданный Microsoft токен доступа: имея его, атакующему уже не нужно повторно обходить MFA. «Доказательство входа» в течение нескольких минут используется с чужих устройств для автоматических обращений к сервисам Microsoft 365.

Приём получил название «распыление токенов» (token spraying) — по аналогии с распылением паролей: множество украденных токенов повторно применяются сразу к нескольким организациям.

Закрепление и сокрытие

Получив доступ, злоумышленники добавляли собственное приложение-аутентификатор, чтобы проходить проверки MFA и пережить истечение или отзыв сессии. Не менее чем в 19 организациях существующие методы MFA удалялись, а новый регистрировался в течение трёх часов после первого входа; в одном случае приложение с именем «iPhone 13» активировали менее чем через 51 минуту после перехвата сессии. Поддельные устройства в каталоге Entra давали ещё более устойчивый способ запрашивать токены.

Кроме того, в почтовых ящиках создавались скрытые правила с невзрачными именами вроде «.», «sss», «iT» или «........», которые удаляли или прятали письма с ключевыми словами о зарплате, депозитах и бонусах. Один из взломанных ящиков рассылал спам сотням внешних адресатов, пока Entra ID Protection не пометила аккаунт как высокорисковый.

Следы

Токены, по данным Huntress, поступали из нескольких источников: AitM-ретрансляторы, фишинг по коду устройства и социальная инженерия. Первая активность прослеживается к румынскому адресу, связанному с трояном AsyncRAT и немецким хостинг-провайдером 1337 Services GmbH, который, в свою очередь, связан со StarkRDP и rdp[.]sh — сервисами аренды виртуальных серверов, чьи домены были изъяты в ходе международной операции Talent в январе 2025 года, но вскоре возобновили работу под новыми именами.

Жертвам советуют отзывать сессии и менять пароли, проверять устройства в Entra, методы MFA, подозрительные правила ящиков и новые корпоративные приложения, а также ограничивать поток кодов устройств политиками условного доступа.

Источник: The Hacker News