Tehdit Oyuncuları, giriş bilgilerini çalmak için Microsoft OAuth uygulamalarını taklit ediyor

Tehdit aktörleri, meşru işletmeleri taklit etmek için sahte Microsoft OAuth uygulamaları oluşturarak gelişmiş kimlik avı kampanyalarından yararlanarak, çok faktörlü kimlik doğrulamasını (MFA) atlarken kimlik hırsızlığı sağlar.

Proofpoint araştırmacıları, 2025’in başından beri bu etkinliği izledi ve RingCentral, SharePoint, Adobe ve Docusign’ı taklit eden 50’den fazla taklidi uygulamayı belirledi.

Bu kötü niyetli OAuth uygulamaları, kullanıcıları gerçek zamanlı olarak kimlik bilgilerini ve oturum çerezlerini yakalayan Tycoon ve ODX gibi ortada saldırgan (AITM) phishing kitlerine yönlendirerek ilk yemler olarak hizmet eder.

Kampanyalar, temel profilleri görüntüleme veya veri erişimini sürdürme gibi iyi huylu kapsamlar talep ederek OAuth onam akışlarından yararlanır, ancak kullanıcı onayı ne olursa olsun, kurbanlar kuruluşlarının entra kimlik detaylarıyla markalanmış Microsoft oturum açma sayfalarını taklit eder.

Bu AITM yaklaşımı Proxy kimlik doğrulama isteklerini, MFA jetonlarını ele geçirir ve bilgi toplama, yanal hareket veya uzlaşmış hesaplardan daha fazla kimlik avı gibi amaçlar için hesap devralmalarını (ATO’lar) etkinleştirir.

Kampanyaya Genel Bakış ve Teknikler

Proofpoint, bu uygulamaları Microsoft’a bildirdi ve Microsoft 365’teki eski kimlik doğrulamasını engelleme ve Temmuz ayı ortasına başlayan üçüncü taraf uygulamalar için yönetici rızası gerektiren yapılacak değişiklikler bu taktiği önemli ölçüde bozması bekleniyor.

Bu kampanyalardaki e -postalar, tırnak veya iş sözleşmesi talepleri etrafında temalı ve yüzlerce kuruluşta binlerce mesajı hedefleyen yemleri kullanarak, genellikle tehlikeye atılan hesaplardan kaynaklanmaktadır.

Özelleştirme, belirli yazılıma uyarlanmış, alaka düzeyini ve başarı oranlarını artıran taklitlerle, endüstriye dayalı olarak gerçekleşir.

Bulut kiracı verilerinde, Proofpoint, öncelikle OpenID, e -posta ve profil gibi kapsamlar isteyen iki düzineden fazla benzer kötü amaçlı uygulama gözlemledi ve yanıt URL’leri kimlik avı altyapısına yol açtı.

Çoğu uygulama, doğrudan uzlaşma yetenekleri olmadan lurs olarak hareket ederken, ATO’lar sadece beş vakada doğrulandı, bu da 2025’te 900 ortamda yaklaşık 3.000 hesabı etkileyen daha geniş kralı bağlantılı operasyonlarda% 50’yi aşan düşük ancak hedeflenmiş bir başarı oranını gösterdi.

Altyapı içgörüler

Bir Mart 2025 kampanyası, Ilsmart’a OAuth uygulaması “Ilsmart” ile temel profil erişimi ve veri bakım izinleri talep eden bir havacılık envanter hizmetini taklit eden ABD merkezli bir havacılık firmasını hedef aldı.

Yeniden yönlendirmeler, eşzamanlı röleler yoluyla kimlik bilgilerini ve MFA tokenlerini toplayan Captcha zorluklarına ve kralı destekli sahte Microsoft sayfalarına yol açtı.

Yapılandırma Detayları AzureApplicationRegistration gibi Yanıt URL’lerini içerir[.]sayfa[.]Dev/RedirectApp ve Scopes, kullanıcı profili görünürlüğüne odaklandı.

Benzer şekilde, Haziran 2025 Adobe kimliğine bürünme, ara URL’ler aracılığıyla bir OAuth “Redirektör Uygulaması” na yönlendiren SendGrid tarafından verilen e-postaları kullandı, sonuçta Client_ID 854189f9-4c71-44bb-880-dd0-dd+’nu PROFES ve OPOPES gibi parametrelerle tycoon kimlik avlama sayfalarına indi.

Bulut Etkileri, Yanıt URL’si ile dört kullanıcıyı etkileyen sahte bir “Adobe” uygulaması gibi kümeleri ortaya çıkardı.[.]myclickfunnels[.]com/ofisler – AF295, Axios kullanıcı ajanları (örn., AXIOS/1.7.9) sinyal kralı tutulumu.

“OneDrive-2015” ile başka bir olay CleansBeauty[.]com/lost/apc.html, ardından kalıcılık için güvenlik yöntemleri eklemek gibi MFA manipülasyonları.

Hizmet olarak kimlik avı platformu olan Tycoon, Axios HTTP müşterilerini sömürü için kullanıyor ve Nisan 2025’te altyapıyı Rus vekillerinden ABD tabanlı veri merkezine barındırmaya yöneltiyor.

Proofpoint bunu, kimlik hedefli AITM saldırılarına yönelik daha geniş bir eğilimin bir parçası olarak, BEC önleme için e-posta güvenliği, ATO algılama, web izolasyonu, kullanıcı farkındalığı ve Fido Keys gibi savunmalar öneriyor.

Uzlaşma göstergeleri

Find this News Interesting! Follow us on Google News, LinkedIn, and X to Get Instant Updates!