TrustSink: fałszywy dostawca MFA w Microsoft Entra przechwytuje hasła przy logowaniu

Varonis Threat Labs opisał technikę TrustSink. Napastnik z kontem administratora Microsoft Entra rejestruje fałszywego zewnętrznego dostawcę MFA i przechwytuje hasła użytkowników przy każdym logowaniu. To nie jest luka, którą zamyka poprawka. Technika nadużywa zaufania, jakim Entra obdarza skonfigurowanego dostawcę. Fałszywy dostawca wstawia do prawdziwego logowania przekonujące okno z prośbą o hasło Microsoft i zapisuje to hasło otwartym tekstem. Potem odsyła do Entra ważny podpisany token, więc logowanie kończy się bez błędu. W teście Varonis serwer napastnika dostawał hasła razem z godziną i adresem IP. Zmiana przechwyconego hasła nie usuwała dostawcy, więc przy następnym logowaniu przechwytywał on nowe hasło.

Kogo dotyczy

Organizacje korzystające z Microsoft Entra, w których napastnik przejął już konto z wysokimi uprawnieniami. TrustSink nie służy do pierwszego włamania. Według Varonis technika działa u każdego dostawcy tożsamości, który obsługuje zewnętrzne uwierzytelnianie w tym modelu.