Злоумышленники используют обманчивые инструкции, чтобы получить доступ к учетным записям Microsoft 365, минуя пароли и многофакторную аутентификацию.
Атаки ConsentFix и ClickFix позволяют злоумышленникам получить контроль над учетными записями Microsoft 365 за считанные секунды. Эти методы полагаются на доверие пользователей к стандартным процедурам, а не на технические уязвимости.
Метод ClickFix обманывает жертву, предлагая нажать комбинацию клавиш. Эти нажатия выполняют команды, введенные атакующим, на компьютере пользователя. Атака использует доверие к обычным рабочим процессам, а не уязвимости в системе.
Более сложная атака, ConsentFix, нацелена на процесс авторизации OAuth в Microsoft 365. Пользователь получает фишинговое сообщение, переходит по ссылке и видит стандартный экран входа Microsoft. Для завершения процесса жертве предлагается перетащить ссылку обратного вызова в браузер.
Этот шаг крадет токены OAuth, предоставляя злоумышленнику доступ к учетной записи, включая почту и другие сервисы, без необходимости знать пароль или обходить многофакторную аутентификацию. Пользователь сам передает необходимые данные, завершая легитимный, на первый взгляд, процесс.
Подробное описание схемы ConsentFix, включая примеры кода и видеоинструкции, было опубликовано на русскоязычном форуме киберпреступников. Атакующие используют общедоступные сервисы и собирают информацию о целях через LinkedIn для персонализации фишинговых сообщений.
Для защиты пользователям следует проявлять бдительность и задаваться вопросом, почему веб-сайт требует необычных действий, таких как нажатие горячих клавиш или перетаскивание ссылок. Однако эти атаки специально разработаны, чтобы выглядеть рутинно.
Системы безопасности могут обнаруживать следы таких атак, например, необычную активность PowerShell или новые сеансы входа из неожиданных мест. Мониторинг конечных точек и идентификационных данных помогает выявить эти сигналы до полной компрометации учетной записи.
