OAuth-omdirigering i Entra ID misbruges til phishing

Introduktion: hvorfor dette er vigtigt

OAuth-links til velkendte identity providers (IdPs) som Microsoft Entra ID bliver ofte betroet af brugere og behandles i nogle tilfælde mere lempeligt af sikkerhedskontroller. Microsofts seneste forskning fremhæver en OAuth-omdirigeringsadfærd, der fungerer “by design”, og som misbruges til at sende brugere fra legitime login-domæner til angriberes infrastruktur—hvilket muliggør phishing og levering af malware, mens det ligner et normalt sign-in-flow.

Dette er især relevant for IT-administratorer i myndigheder og offentlige organisationer, som specifikt var mål i den observerede aktivitet.

Hvad er nyt / vigtigste fund

Microsoft Defender Security Research Team observerede phishing-drevet udnyttelse af OAuth-omdirigeringsmekanismer på tværs af signaler fra email, identity og endpoint:

• Misbrug af silent OAuth-flows: Angribere opretter OAuth-autoriserings-URL’er ved hjælp af parametre som prompt=none for at forsøge et silent autentificeringstjek (ingen brugergrænseflade).
• Bevidst ugyldige scopes for at tvinge en fejlsti: Forespørgsler inkluderer scope=<invalid_scope> (eller andre fejlsudløsere) for pålideligt at generere en OAuth-fejl.
• Fejldrevet omdirigering til angriberkontrolleret URI: Når IdP’en returnerer en fejl (for eksempel interaction_required), omdirigeres browseren til appens registrerede redirect URI, som angriberen konfigurerer til at pege på phishing-sider eller websteder til download af malware.
• Ingen token-tyveri kræves for omdirigeringen: Angriberen forsøger ikke nødvendigvis at gennemføre OAuth med succes; omdirigeringen er hovedmålet.
• Misbrug af state-parameteren til personalisering: Parameteren state—der er beregnet til korrelation mellem forespørgsel og svar—blev genbrugt til at videregive offerets emailadresse (klartekst, hex, Base64 eller brugerdefineret kodning), så phishing-sider automatisk kan udfylde identifikatorer.
• Mønstre for kampagnelevering: Phishing-lokkemidler omfattede e-signaturanmodninger, temaer om økonomi/social sikring, dokumentdeling, Teams-/mødeindhold og prompts til nulstilling af adgangskode. Nogle brugte PDF-vedhæftninger med indlejrede links og endda .ics-kalenderinvitationer.
• Efterfølgende værktøjer: Sider efter omdirigeringen brugte ofte phishing-frameworks som EvilProxy (attacker-in-the-middle), der er designet til at indfange legitimationsoplysninger og sessionscookies, nogle gange med ekstra CAPTCHA-/mellemtrin.

Påvirkning på IT-administratorer og slutbrugere

• Højere risiko for klik: Links starter på betroede IdP-domæner (for eksempel login.microsoftonline.com), hvilket øger brugernes tillid.
• Pres på omgåelse af forsvar: Traditionelle kontroller af URL-omdømme kan fokusere på det oprindelige domæne og overse den endelige destination.
• Behov for synlighed på tværs af lag: Microsoft bemærker, at Defender korrelerede signaler på tværs af email, identity og endpoint, hvilket understreger, at detektion med én enkelt kontrol kan være utilstrækkelig.
• Vedvarende trussel: Microsoft Entra deaktiverede observerede ondsindede OAuth-applikationer, men relateret aktivitet fortsætter—overvågning er stadig nødvendig.

Handlinger / næste skridt

1. Jagt på mistænkelige OAuth-authorize-mønstre i logs og proxytelemetri, især:
   • prompt=none kombineret med usædvanlige/ugyldige scope-værdier
   • Hyppige OAuth-fejl efterfulgt af omdirigeringer til ikke-virksomhedsdomæner
   • Brug af /common/ i uventede phishing-kontekster med høj volumen
2. Gennemgå og begræns app consent og app-registreringer:
   • Revider nyligt oprettede apps og redirect URI’er for ikke-betroede domæner
   • Stram op på, hvem der kan registrere applikationer/ændre redirect URI’er i Entra ID
3. Styrk phishing-beskyttelse ud over kontroller af “betroet domæne”:
   • Sørg for, at URL-detonation/safe-link-værktøjer følger omdirigeringer
   • Uddan brugere i, at “starter ved Microsoft sign-in” ikke garanterer sikkerhed
4. Valider Conditional Access og sessionskontroller:
   • Overvåg sign-in- og OAuth-fejltelemetri for anomalier og målrettede brugergrupper
5. Brug Defender-korrelation:
   • Udnyt Microsoft Defender for Office 365 + Defender for Identity/Endpoint til at korrelere email-lokkemidler, sign-in-adfærd og payload-aktivitet på endpoint.