Microsoft 365 Token-Replay Attacks Compromise 97 Accounts at 79 Organizations

In­ves­ti­ga­do­res de ci­ber­se­gu­ri­dad han de­tec­ta­do una cam­pa­ña di­ri­gi­da con­tra Mi­cro­soft 365 que uti­li­za un sis­te­ma de re­trans­mi­sión me­dian­te un in­ter­me­dia­rio para cap­tu­rar se­sio­nes de ini­cio de se­sión y re­uti­li­zar los to­kens ro­ba­dos. Esta ac­ti­vi­dad, iden­ti­fi­ca­da por Hun­tress, logró com­pro­me­ter cuen­tas y re­gis­trar dis­po­si­ti­vos fal­sos en múl­ti­ples or­ga­ni­za­cio­nes tras re­gis­trar nu­me­ro­sos in­ten­tos de ac­ce­so fa­lli­dos pro­ve­nien­tes de un rango de di­rec­cio­nes IP es­pe­cí­fi­co.

Los ata­can­tes em­plean pá­gi­nas de ac­ce­so fal­sas que ac­túan entre las víc­ti­mas y la in­fra­es­truc­tu­ra le­gí­ti­ma de Mi­cro­soft para in­ter­cep­tar las cre­den­cia­les y los có­di­gos de au­ten­ti­ca­ción mul­ti­fac­tor. El ob­je­ti­vo prin­ci­pal es ob­te­ner el token de ac­ce­so emi­ti­do para re­uti­li­zar­lo rá­pi­da­men­te desde sus pro­pios equi­pos, una téc­ni­ca de­no­mi­na­da "token spra­ying" que evita tener que su­pe­rar nue­va­men­te la au­ten­ti­ca­ción mul­ti­fac­tor.

Tras ac­ce­der a las cuen­tas, los agre­so­res aña­den sus pro­pias apli­ca­cio­nes de au­ten­ti­ca­ción o re­gis­tran dis­po­si­ti­vos fal­sos en los di­rec­to­rios para man­te­ner la per­sis­ten­cia, lle­gan­do en va­rios casos a eli­mi­nar los mé­to­dos de au­ten­ti­ca­ción ori­gi­na­les de los usua­rios. Asi­mis­mo, con­fi­gu­ran re­glas ocul­tas en los bu­zo­nes de co­rreo para ocul­tar o eli­mi­nar men­sa­jes re­la­cio­na­dos con pagos y nó­mi­nas, y en oca­sio­nes en­vían co­rreo no de­sea­do a des­ti­na­ta­rios ex­ter­nos hasta que los sis­te­mas de pro­tec­ción de­tec­tan el ries­go ele­va­do.