Entra ID OAuth preusmeravanje za phishing i malver

Uvod: zašto je ovo važno

OAuth linkovi ka poznatim identity provider-ima (IdP) kao što je Microsoft Entra ID korisnicima često ulivaju poverenje i, u nekim slučajevima, bezbednosne kontrole prema njima imaju blaži tretman. Najnovije Microsoft istraživanje ističe „by design“ OAuth ponašanje preusmeravanja koje se zloupotrebljava kako bi se korisnici sa legitimnih login domena usmerili na infrastrukturu napadača—omogućavajući phishing i isporuku malvera, dok sve izgleda kao normalan sign-in tok.

Ovo je posebno relevantno za IT administratore u državnim i javnim organizacijama, koje su bile specifično ciljane u posmatranoj aktivnosti.

Šta je novo / ključni nalazi

Microsoft Defender Security Research Team je uočio eksploataciju OAuth mehanike preusmeravanja, pokretanu phishing-om, kroz signale iz email-a, identiteta i endpoint-a:

• Zloupotreba tihih OAuth tokova: Napadači prave OAuth authorization URL-ove koristeći parametre kao što je prompt=none da pokušaju tihu proveru autentifikacije (bez UI-a).
• Namerno nevažeći scope-ovi radi forsiranja putanje greške: Zahtevi uključuju scope=<invalid_scope> (ili druge okidače neuspeha) kako bi se pouzdano generisala OAuth greška.
• Preusmeravanje ka URI-ju pod kontrolom napadača, pokrenuto greškom: Kada IdP vrati grešku (na primer, interaction_required), pregledač se preusmerava na registrovani redirect URI aplikacije, koji napadač konfiguriše da vodi na phishing stranice ili sajtove za preuzimanje malvera.
• Za preusmeravanje nije neophodna krađa tokena: Napadač ne mora nužno da dovrši OAuth uspešno; preusmeravanje je glavni cilj.
• Zloupotreba state parametra za personalizaciju: Parametar state—namenjen korelaciji zahteva/odgovora—prenamenjen je za prosleđivanje email adrese žrtve (plaintext, hex, Base64 ili prilagođeno kodiranje) kako bi phishing stranice automatski popunile identifikatore.
• Obrasci isporuke kampanje: Phishing mamci su uključivali zahteve za e-potpis, finansijske/teme socijalnog osiguranja, deljenje dokumenata, Teams/sadržaj sastanaka i poruke za reset lozinke. Neki su koristili PDF priloge sa ugrađenim linkovima, pa čak i .ics pozivnice za kalendar.
• Downstream alati: Stranice nakon preusmeravanja često su koristile phishing framework-e kao što je EvilProxy (attacker-in-the-middle), dizajnirane da prikupe kredencijale i session cookies, ponekad uz dodatne CAPTCHA/interstitial korake.

Uticaj na IT administratore i krajnje korisnike

• Veći rizik od klika: Linkovi počinju na pouzdanim IdP domenima (na primer, login.microsoftonline.com), što povećava poverenje korisnika.
• Pritisak na zaobilaženje odbrana: Tradicionalne provere reputacije URL-a mogu da se fokusiraju na početni domen i propuste krajnju destinaciju.
• Potreba za vidljivošću kroz slojeve: Microsoft navodi da je Defender korelisao signale iz email-a, identiteta i endpoint-a, naglašavajući da detekcija jednim kontrolnim mehanizmom može biti nedovoljna.
• Trajna pretnja: Microsoft Entra je onemogućio uočene maliciozne OAuth aplikacije, ali srodna aktivnost se nastavlja—monitoring je i dalje neophodan.

Koraci / naredne aktivnosti

1. Lov na sumnjive OAuth authorize obrasce u logovima i proxy telemetriji, posebno:
   • prompt=none u kombinaciji sa neuobičajenim/nevažećim scope vrednostima
   • Česti OAuth neuspehi praćeni preusmeravanjima ka ne-korporativnim domenima
   • Upotreba /common/ u neočekivanim phishing kontekstima sa velikim obimom
2. Pregled i ograničavanje app consent-a i app registrations:
   • Audit novokreiranih aplikacija i redirect URI-jeva za nepouzdane domene
   • Pojačati ograničenja ko može da registruje aplikacije/menja redirect URI-jeve u Entra ID
3. Jačanje phishing zaštite izvan provere „pouzdan domen“:
   • Obezbediti da URL detonation/safe-link alati prate preusmeravanja
   • Edukovati korisnike da „počinje na Microsoft sign-in“ ne garantuje bezbednost
4. Validacija Conditional Access i session kontrola:
   • Pratiti sign-in i OAuth error telemetriju radi anomalija i ciljanih korisničkih grupa
5. Korišćenje Defender korelacije:
   • Iskoristiti Microsoft Defender for Office 365 + Defender for Identity/Endpoint za korelaciju email mamca, sign-in ponašanja i endpoint aktivnosti payload-a.