Microsoft: social engineering-aanval via Teams probeert MFA te omzeilen

[Captain Kirk]

Een groep aanvallers maakt gebruik van Microsoft Teams voor het uitvoeren van social engineering-aanvallen, waarbij het doel is om multifactorauthenticatie (MFA) van de accounts van doelwitten te omzeilen. Tientallen organisaties zijn door de aanvallen getroffen, aldus Microsoft. Volgens het techbedrijf zit een vanuit Rusland opererende groep achter de aanvallen.

Voor het uitvoeren van de social engineering-aanval maken de aanvallers gebruik van de Microsoft 365-omgevingen van mkb-bedrijven die ze eerder hebben gecompromitteerd. De aanvallers wijzigen de naam van de gecompromitteerde omgeving, voegen een nieuw onmicrosoft.com subdomein toe, en voegen vervolgens een nieuwe gebruiker toe die aan dat domein is gekoppeld voor het versturen van het bericht naar het doelwit.

De aanvallers noemen de gecompromitteerde omgeving bijvoorbeeld "Microsoft Identity Protection" en gebruiken "teamsprotection.onmicrosoft.com" als afzender van het bericht. Daardoor kan het voor het doelwit lijken alsof het bericht van Microsoft afkomstig is. Bij de aanvallen beschikken de aanvallers al over de inloggegevens van het doelwit, maar kunnen vanwege MFA niet inloggen. Ook hebben de aanvallers het voorzien op gebruikers met wachtwoordloze authenticatie, waarbij gebruikers alleen een code moeten invoeren die via de Microsoft Authenticator-app op hun telefoon is gegenereerd.

Nadat de aanvaller op een account inlogt waarvoor MFA is vereist, krijgt die een code te zien die de gebruiker van het account in zijn authenticator-app moet invoeren. Zodra de aanvaller inlogt ontvangt de gebruiker op zijn telefoon een prompt die om deze code vraagt. De aanvaller stuurt het doelwit nu via Teams een bericht waarin wordt gevraagd om de meegestuurde code op de telefoon in te voeren. Als het doelwit de code van de aanvaller op zijn telefoon invoert ontvangt de aanvaller waarmee hij als de gebruiker kan inloggen.

Microsoft adviseert organisaties onder andere om phishingbestendige authenticatiemethodes uit te rollen. Ook moeten organisaties personeel onderwijzen om geen MFA-codes in te voeren die via ongevraagde berichten zijn verstuurd.

 

bron: https://www.security.nl