Как работает атака «человек посередине»

Описание: Реальный случай взлома учетной записи Microsoft 365, объясненный менее чем за три минуты.

У пользователя была включена многофакторная аутентификация (MFA). Фишинговый набор «злоумышленник-посредник» (AiTM) в режиме реального времени передал пароль и SMS-код в Microsoft, сохранил полученный сессионный cookie и воспроизвел его через 21 час с 17 IP-адресов частных пользователей. Новый запрос на MFA так и не появился.

В этом видео:
• Почему многофакторная аутентификация (MFA) сработала, но всё равно не защитила учётную запись
• Почему злоумышленник, вероятно, ждал 21 час, прежде чем использовать украденную сессию
• Как разведка Microsoft Graph была нацелена на сотрудников отделов заработной платы, кадров и финансов
• Доказательства из логов, что атаку проводил инструмент, а не человек
• Четыре средства контроля, которые разрывают эту цепочку атаки

Разделы
0:00 MFA была включена, но не остановила злоумышленника
0:21 Настройка: неработающий метод MFA
0:36 Ретрансляция
1:06 21-часовое ожидание
1:19 Повтор
1:31 Разведка
1:45 Подтверждение: одна сессия, четыре браузера
2:12 Обнаружение и локализация
2:33 Что разрывает эту атаку

Углублённое изучение: наш 20-минутный обучающий видеоролик SOC по этому расследованию с шестью поисками KQL, премьера которого состоится в четверг, 22 октября.

Это дело очищено: клиент, пользователи, IP-адреса Идентификаторы удалены. Поля журналов, коды ошибок и запросы злоумышленников отображаются в том виде, в котором они были записаны.

Fluency Security · fluencysecurity.com

#AiTM #Microsoft365 #MFA #Phishing #Cybersecurity