Microsoft 365アカウントを標的とし、MFAを回避する新たなフィッシングキットが登場

Microsoft 365 アカウントを標的とした攻撃において、「Jalisco」と「OmegaLord」という 2 つの新たなフィッシングキットが発見されました。これらは、多要素認証（MFA）を無効化する手法を用いています。

「Jalisco」はデバイスコード型フィッシング手法を用いる一方、「OmegaLord」はPDFリーダーを装ってアカウントのログイン認証情報や関連する電話番号を収集し、攻撃者がMFAのリクエストやコードを傍受・乗っ取るのに利用される可能性があります。

これらのフィッシングツールキットは、サイバーセキュリティ企業ReliaQuestの研究者らによって分析されました。同社の研究者らは、デバイスコードフィッシングがますます一般的になっている一方で、従来のフィッシング手法も最新の防御策を回避するために進化し続けていると指摘しています。

デバイスコードフィッシングの手法は、OAuth 2.0のデバイス認証グラントフローを悪用し、被害者を騙して攻撃者が制御するデバイスが自身のMicrosoftアカウントにアクセスすることを承認させるものです。

この攻撃は通常、脅威アクターがMicrosoft 365などのMicrosoftサービスに対してサインイン要求を送信し、プラットフォームにデバイス認証コードを生成させることから始まります。

攻撃者はソーシャルエンジニアリングを用いて、被害者に正規のMicrosoftログインページにサインインさせ、認証コードを入力させることで、攻撃者が制御するデバイスを承認させます。デバイスが承認されると、攻撃者はユーザー名やパスワードを一切必要とせずに被害者のアカウントにアクセスできるようになります。

「Jalisco」ツールキットは、被害者がフィッシングページを開くと、新しいMicrosoft OAuthデバイスコードを自動的に生成します。

このフィッシングツールキットは、コードをリアルタイムで生成することで、デバイスコードを用いたフィッシング攻撃に対抗するためにマイクロソフトが設定した「デバイスコードの有効期限15分」という制限を回避しています。

研究者によると、Jalisco には、オペレーターがキャプチャしたセッションや侵害されたアカウントを管理できる Web ポータルも含まれているという。

ReliaQuest は、攻撃者が 1 つの侵害されたアカウントに対して 5 台の不正なデバイスを登録している事例をいくつか確認しており、時には「Microsoft」や「Windows」を含む一見無害な名前を使用して、疑いを薄めようとしていると指摘しています。

アカウントを侵害した後、攻撃者はSharePointやその他のSaaSサービスを検索して貴重なデータを探し出し、数分以内にそれを持ち出し、その後、恐喝の要求を行い、データを流出させると脅迫する。

「脅威アクターは、侵害されたアカウントを利用して、SharePointやその他のSaaSプラットフォームに保存されている顧客や従業員の個人識別情報（PII）、財務記録、社内通信などの機密データにアクセスしています」とReliaQuestは述べています。

「データの持ち出しは通常、防御側が侵害を検知する前に、最短で6分という短時間で迅速に行われます。」

OmegaLordは、偽のPDFリーダーのログインページを利用してメールアドレス、パスワード、電話番号を盗み出す、より従来型のフィッシングツールであり、おそらく攻撃者が多要素認証（MFA）の保護を回避するのを助けることを目的としている。

「電話番号を明確に標的としていることは、デバイスコードフィッシングと並んで、脅威アクターが制御手段としてのMFAを直接回避するよう仕組んでいることを示すもう一つの例です」と、ReliaQuestの研究者は指摘しています。

Jaliscoフィッシングキットは、EvilTokens、Kali365、Tycoon2FA、Venom、Forg365と同様に、デバイスコードの手法を利用して被害者のアカウントへのアクセス権を取得するツールの一つである。

ReliaQuestは、Entra IDのデバイス登録上限をデフォルト値の「50」から1つか2つに引き下げることを推奨している。これにより、アカウント乗っ取りインシデントが発生した場合の対応および復旧時間の短縮にもつながる。

さらに、Microsoft Entra Conditional Access を通じてデバイスコード認証をブロックし、Okta での OAuth デバイス認証グラントを制限し、不要なアプリ登録を監査して削除することも推奨されます。