عوامل تهدید در حملاتی ترکیبی از فیشینگ کد دستگاه (device code phishing) و فیشینگ صوتی (vishing) برای سوءاستفاده از جریان مجوزدهی دستگاه OAuth 2.0 استفاده می‌کنند تا حساب‌های Microsoft Entra سازمان‌های فناوری، تولیدی و مالی را به خطر بیندازند. برخلاف حملات پیشین که از اپلیکیشن‌های مخرب OAuth بهره می‌بردند، این کمپین‌ها از شناسه‌های کلاینت (client ID) قانونی مایکروسافت و جریان احراز هویت دستگاه استفاده می‌کنند تا قربانیان را فریب دهند و توکن‌های احراز هویت معتبر به دست آورند؛ بدون نیاز به سرقت رمز عبور یا رهگیری کدهای احراز هویت چندعاملی (MFA). منابعی به BleepingComputer اعلام کرده‌اند که گروه اخاذی ShinyHunters پشت این حملات است، که خود این گروه نیز آن را تأیید کرده؛ هرچند این رسانه نتوانسته آن را به‌طور مستقل تأیید کند. مایکروسافت نیز در این باره اظهارنظری نکرده است.
در این نوع حمله، مهاجمان با تماس با کارمندان هدف، آن‌ها را متقاعد می‌کنند کدی را در صفحه احراز هویت رسمی مایکروسافت (microsoft.com/devicelogin) وارد کنند. پس از ورود کد و تکمیل فرآیند احراز هویت توسط قربانی، مهاجمان به توکن بازیابی (refresh token) دسترسی یافته و می‌توانند بدون نیاز به تکرار MFA به سرویس‌های مایکروسافت و اپلیکیشن‌های SaaS متصل از طریق ورود یکپارچه (SSO) نظیر Microsoft 365، Salesforce، Slack و دیگران دسترسی داشته باشند. شرکت KnowBe4 نیز کمپین مشابهی را از دسامبر ۲۰۲۴ رصد کرده و توصیه می‌کند مدیران سیستم در صورت عدم نیاز، جریان کد دستگاه را غیرفعال کنند و سیاست‌های دسترسی مشروط (conditional access) را اعمال نمایند.
کلمات کلیدی : فیشینگ کد دستگاه,حملات OAuth 2.0,Microsoft Entra,فیشینگ صوتی,توکن احراز هویت,ShinyHunters
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.