Security

AI-drevet device code phishing eskalerer

3 min læsning

Resumé

Microsoft Defender Security Research beskrev en storstilet phishingkampagne, der misbruger OAuth device code flow med AI-genererede lokkemidler, dynamisk kodegenerering og automatiseret backend-infrastruktur. Kampagnen øger risikoen for organisationer, fordi den forbedrer angribernes succesrate, omgår traditionelle detektionsmønstre og muliggør token-tyveri, vedvarende inbox rules og rekognoscering via Microsoft Graph.

Brug for hjælp med Security?Tal med en ekspert

Introduktion

Microsoft har afsløret en markant udvikling inden for device code phishing og viser, hvordan angribere kombinerer generativ AI, automatisering og cloud-hostet infrastruktur for at kompromittere Microsoft-konti i stor skala. For sikkerhedsteams og Microsoft 365-administratorer er dette vigtigt, fordi kampagnen rammer legitime autentificeringsflows frem for direkte at stjæle adgangskoder, hvilket gør den sværere at opdage med traditionelle kontroller.

Hvad er nyt i denne kampagne

Ifølge Microsoft Defender Security Research bygger aktiviteten videre på tidligere device code phishing-teknikker, men tilføjer flere vigtige fremskridt:

  • AI-aktiverede phishing-lokkemidler: Angribere brugte generativ AI til at skabe stærkt personaliserede e-mails knyttet til jobroller og forretningsscenarier som fakturaer, RFP'er og produktionsworkflows.
  • Dynamisk generering af device code: I stedet for at være afhængig af forudgenererede koder, der udløber efter 15 minutter, oprettes device code først, når brugeren klikker på phishing-linket.
  • Automatiseret cloud-infrastruktur: Trusselsaktører brugte platforme som Railway, Vercel, Cloudflare Workers og AWS Lambda til at implementere kortlivet infrastruktur og redirect-kæder.
  • Trafik, der falder ind i mængden: Redirects via betroede cloud-tjenester hjælper aktiviteten med at undgå simple bloklister og omdømmebaserede forsvar.
  • Misbrug af tokens efter kompromittering: Når et offer fuldfører device login-flowet, bruger angribere tokenet til e-maileksfiltrering, oprettelse af inbox rules og rekognoscering via Microsoft Graph.

Hvorfor dette er anderledes

Traditionel phishing forsøger normalt at opsnappe legitimationsoplysninger. I dette tilfælde narrer angriberen brugeren til at godkende en legitim Microsoft device login-session, som angriberen selv har startet. Fordi autentificeringen sker på Microsofts rigtige device login-side, kan brugerne være mindre mistænksomme, og MFA kan være mindre effektivt, hvis sessionen ikke er stærkt bundet til den oprindelige kontekst.

Microsoft kobler også denne tendens til EvilToken, et phishing-as-a-service-værktøjssæt, der driver bredere misbrug af device code. Brugen af automatisering og AI markerer et væsentligt skridt op fra Storm-2372-kampagnen, som blev dokumenteret i 2025.

Konsekvenser for IT-administratorer

Sikkerheds- og identity-teams bør forvente:

  • Mere overbevisende phishing-e-mails rettet mod højt prioriterede brugere
  • Øget misbrug af legitime OAuth- og Microsoft sign-in-flows
  • Token-baseret kompromittering uden tyveri af adgangskoder
  • Persistens via ondsindede inbox rules og skjult videresendelse af mail
  • Rekognoscering mod organisationsstruktur via Microsoft Graph

Anbefalede tiltag

Administratorer bør gennemgå Microsofts vejledning til afbødning og prioritere:

  • Overvågning af mistænkelig aktivitet relateret til device code authentication
  • Undersøgelse af uventede inbox rules og token-baserede adgangsmønstre
  • Hærdning af conditional access og sign-in risk policies, hvor det er muligt
  • Træning af brugere i at betragte uopfordrede device login-prompter som mistænkelige
  • Hunting efter mistænkelige redirects, impersonation-domæner og cloud-hostet phishing-infrastruktur

Denne research er en påmindelse om, at phishing-forsvar nu også skal tage højde for misbrug af legitime autentificeringsworkflows, ikke kun falske login-sider og stjålne adgangskoder.

Brug for hjælp med Security?

Vores eksperter kan hjælpe dig med at implementere og optimere dine Microsoft-løsninger.

Tal med en ekspert

Hold dig opdateret om Microsoft-teknologier

Læs den originale artikel af Microsoft Defender Security Research Team
device code phishingMicrosoft DefenderOAuthtoken theftphishing

Relaterede indlæg

Security

Storm-1175 Medusa ransomware rammer websystemer

Microsoft Threat Intelligence advarer om, at Storm-1175 hurtigt udnytter sårbare internetvendte systemer til at udrulle Medusa ransomware, nogle gange inden for 24 timer efter første adgang. Gruppens fokus på nyligt offentliggjorte sårbarheder, web shells, RMM tools og hurtig lateral bevægelse gør hurtig patching, eksponeringsstyring og detektion efter kompromittering afgørende for forsvarere.

Security

AI-cyberangreb øger trusler i hele angrebskæden

Microsoft advarer om, at trusselsaktører nu indlejrer AI i hele cyberangrebets livscyklus, fra rekognoscering og phishing til malwareudvikling og aktiviteter efter kompromittering. For forsvarere betyder det hurtigere og mere præcise angreb, højere succesrater for phishing og et voksende behov for at styrke identitet, MFA-beskyttelse og synlighed i AI-drevne angrebsflader.

Security

Cookie-styrede PHP-webshells på Linux undviger detektion

Microsoft advarer om, at trusselsaktører bruger HTTP-cookies til at styre PHP-webshells i Linux-hostingmiljøer, hvilket hjælper skadelig kode med at forblive inaktiv, medmindre bestemte cookie-værdier er til stede. Teknikken reducerer synligheden i rutinemæssige logs, understøtter persistens via cron jobs og understreger behovet for stærkere overvågning, webbeskyttelse og endpoint-detektion på hostede Linux-workloads.

Security

Axios npm kompromittering: guide til afhjælpning

Microsoft advarede om, at ondsindede Axios npm-versioner 1.14.1 og 0.30.4 blev brugt i et supply chain-angreb, der tilskrives Sapphire Sleet. Organisationer, der bruger de berørte pakker, bør straks rotere secrets, nedgradere til sikre versioner og gennemgå developer endpoints og CI/CD-systemer for kompromittering.

Security

Sikkerhedsberedskab for kritisk infrastruktur 2026

Microsoft siger, at trusselsmodellen for kritisk infrastruktur har flyttet sig fra opportunistiske angreb til vedvarende, identitetsdrevet adgang designet til fremtidig forstyrrelse. For IT- og sikkerhedsledere er budskabet klart: reducer eksponering, styrk identitetssikkerheden, og valider den operationelle parathed nu, i takt med at regulering og nation-state-aktivitet intensiveres.

Security

AI-sikkerhed for CISO'er: praktisk vejledning

Microsoft råder CISO'er til at sikre AI-systemer med de samme kernekontroller, de allerede bruger til software, identiteter og dataadgang. Vejledningen fremhæver mindst mulige rettigheder, forsvar mod prompt injection og brug af AI til at afdække rettighedsproblemer, før angribere eller brugere gør det.