Атака на презентацию фишингового кода устройства, обнаружение и устранение

Описание: Пару недель назад я вместе с другом исследовал тему фишинга кодов устройств, и мы решили снять об этом видео. Это новый формат видео и тема для меня, поскольку я редко пишу об облаках, поэтому мы будем благодарны, если вы поделитесь своим мнением.

Ссылки:
https://www.microsoft.com/en-us/secur...
https://www.volexity.com/blog/2025/02...
https://www.inversecos.com/2022/12/ho...
https://0xboku.com/2021/07/12/ArtOfDe...
https://aadinternals.com/post/phishin...
https://techcommunity.microsoft.com/b...

00:00 — Демонстрация статьи Storm-2372
03:27 — Рассказ о фишинговых атаках, начинающихся вне диапазона
04:40 — Приглашаю друга (oodie), показываю слайды с хорошими записями в блоге об этой атаке
06:40 — Рассказ об истории атаки и её начале
07:23 — Некоторые говорят о предоставлении авторизации устройств по протоколу OAuth
08:30 — Microsoft в курсе дела
10:20 — Демонстрация того, как Azure CLI и AZ PowerShell могут выполнять входы с помощью кода устройства, которые не являются инструментами взлома
11:00 — Рассказ о том, как входы с помощью кода устройства работают на уровне протокола
12:50 — Проведение атаки с использованием тактики токенов для начала входа устройства Обработка и создание фишингового письма
14:38 — Демонстрация атаки с точки зрения жертвы, чтобы вы могли увидеть, насколько легко попасться на эту фишинговую атаку
15:55 — Возвращаемся к злоумышленнику: использование токена с AADInternals для получения информации об организации, например, о пользователях
17:45 — Конвертация токена в токен Outlook, затем поиск по почтовому ящику из командной строки
19:20 — Конвертация токена в формат, который можно использовать с онлайн-порталом, чтобы использовать веб-браузер для взаимодействия с Office 365
22:00 — Просмотр журналов входа в систему и фильтрация по аутентификации кода устройства
24:10 — Демонстрация того, как Sentinel отображает CMSI (Check My Sign-In), что является ещё одним индикатором
25:35 — Демонстрация того, как Sentinel запрашивает электронные письма, можно просматривать метаданные писем, включая все ссылки в них
26:55 — Создание политики для блокировки входа с кодом устройства