ConsentFix v3」と名付けられた新しい攻撃タイプが、Microsoft Azureに対する攻撃を自動化する改良型テクニックとしてハッカーフォーラムに出回っている。
ConsentFixの最初のバージョンは、OAuthフィッシング攻撃のClickFixのバリエーションとして昨年12月にPush Securityによって発表されたもので、被害者を騙してAzure CLI経由で正規のMicrosoftログインフローを完了させる。
ソーシャル・エンジニアリングを利用して、攻撃者は被害者を騙し、トークンを取得し、多要素認証（MFA）にもかかわらずパスワードなしでアカウントを乗っ取るために使用できるOAuth認証コードを含むlocalhost URLを貼り付けさせる。
ConsentFix v2は研究者のJohn Hammondによって開発されたもので、Pushのオリジナルを改良したもので、手動によるコピー／ペーストをローカルホストURLのドラッグ＆ドロップに置き換え、フィッシングの流れをよりスムーズで説得力のあるものにしている。
ConsentFix v3は、OAuth2の認証コードフローを悪用し、事前に信頼され、事前に同意されているファーストパーティのMicrosoftアプリを標的にするという核となるアイデアを保持している。
しかし、自動化とスケーラビリティを取り入れることで、改良が加えられている。
ConsentFix v3の攻撃フロー
この新しいテクニックが宣伝されているハッカー・フォーラムから入手した情報によると、攻撃はまず、有効なテナントIDをチェックすることで、ターゲット環境におけるAzureの存在を確認することから始まる。
続いて、なりすましをサポートするために、名前、役割、電子メールアドレスなどの従業員の詳細を収集します。
次に、攻撃者はOutlook、Tutanota、Cloudflare、DocSend、Hunter.io、Pipedreamなどのサービスにわたって複数のアカウントを作成し、フィッシング、ホスティング、データ収集、流出などの操作をサポートします。
Push Securityの研究者は、無料で使用できるサーバーレス統合プラットフォームであるPipedreamが、攻撃の自動化において中心的な役割を果たし、3つの重要な役割を果たしていると説明している：
- 被害者の認証コードを受信するウェブフックエンドポイントである。
- マイクロソフトのAPIを介して、そのコードを即座にリフレッシュ・トークンと交換する自動化エンジンである。
- キャプチャしたトークンをリアルタイムで利用可能にする中央コレクターである。
Source：プッシュ・セキュリティ
次のフェーズでは、攻撃者は Cloudflare Pages にホストされたフィッシングページを展開し、正規の Microsoft/Azure インタフェースを模倣し、Microsoft のログインエンドポイントを経由する本物の OAuth フローを開始する。
被害者がこのページにアクセスすると、OAuth認証コードを含むlocalhostのURLにリダイレクトされ、このコードをフィッシングページに貼り付けるか、ドラッグして戻させます。
これによってデータ流出パイプラインが可能になり、ページがキャプチャしたURLをPipedreamのウェブフックに送り、バックエンドのオートメーションが認証コードをトークンに即座に交換する。
フィッシングメールは高度にパーソナライズされ、取得されたデータから生成され、DocSendにホストされたPDF内に埋め込まれた悪意のあるリンクを特徴とし、信頼性を向上させ、スパムフィルタリングを回避することができます。
Source：プッシュ・セキュリティ
侵入後の段階では、入手したトークンがSpecter Portalにインポートされ、攻撃者は侵害されたMicrosoft環境とやりとりし、トークンで許可されたリソース（電子メール、ファイル、アカウントに関連付けられたその他のサービスなど）にアクセスできるようになります。
プッシュ・セキュリティ社は、ConsentFix v3のテストは個人のマイクロソフトアカウントに依存しているため、権限、サービス、テナント設定などに依存する影響を完全に把握することは難しいと指摘しています。
Push氏は、ConsentFixのリスクを軽減する方法として、ファーストパーティのアプリケーションの信頼はアーキテクチャ上のものであり、FOCI（Family of Client ID）は、パーミッションとリフレッシュトークンを共有するマイクロソフトのアプリケーションであるため、この試みは複雑であると指摘している。
しかし、信頼できるデバイスにトークンバインディングを適用したり、振る舞い検出ルールを設定したり、アプリ認証の制限を適用したりするなど、管理者ができることはまだある。
ConsentFix攻撃は実際のキャンペーンで使用されているが、v3亜種がサイバー犯罪者の間で支持を得ているかどうかはまだ不明である。
.article-callout { background-color：#width: 95%; max-width: 800px; margin: 15px auto; border-radius: 8px; border：1px solid #d6ddee; display: flex; align-items: stretch; overflow: hidden; } .article-media { flex: 1; max-width: 220px; display: flex; } .article-media a { display: flex; width: 100%; height: 100%; } .article-media img { width: 100%; height: 100%; border-radius: 8px 0 0 8px; display: block; } .article-callout .article-media img { margin-top: 0 !important; height: 100% !important; } .article-body { flex: 2; padding：display: flex; flex-direction: column; justify-content: center; } .article-body h2 { font-size: 17px !important; font-weight: 700; color：#line-height: 1.4; font-family：margin: 0 0 14px 0; } .article-body p { font-weight: bold; font-size: 14px; margin: 0 0 clamp(6px, 2vw, 14px) 0; } .article-link { background-color：#border：color: black; text-align: center; text-decoration: none; border-radius: 8px; display: inline-block; font-size: 16px; font-weight: bold; padding：10px 20px; width: fit-content; } @media (max-width: 600px) { .article-callout { flex-direction: column; align-items: center; } .article-media { max-width: 100%; } .article-media img { border-radius: 8px 8px 0 0; } .article-body { padding：.article-body { padding: 15px; width: 100%; } .article-link { width: 100%; margin: 0 auto; box-sizing: border-box; } } .
Mythosが発見した問題の99%はまだ未パッチである。
AIは4つのゼロデイを1つのエクスプロイトに連鎖させ、レンダラーとOSのサンドボックスの両方をバイパスした。新たなエクスプロイトの波が押し寄せている。
自律的検証サミット（5月12日、14日）では、自律的でコンテキストに富んだ検証がどのように悪用可能なものを見つけ、コントロールが有効であることを証明し、修復のループを閉じるかをご覧ください。
Comments