Das Microsoft Detection and Response Team (DART) warnte kürzlich, dass Angreifer zunehmend Token stehlen, um die Multi-Faktor-Authentifizierung (MFA) zu umgehen.
„Indem ein Token kompromittiert und wiederverwendet wird, der für eine Identität ausgestellt wurde, die die Multifaktor-Authentifizierung bereits abgeschlossen hat, erfüllt der Angreifer die MFA-Validierung, und der Zugriff auf die entsprechenden Unternehmensressourcen wird gewährt“, schrieb das Team in einem Blogbeitrag.
Das sei besonders besorgniserregend, so die Forscher, weil die Angriffstechnik keine umfassenden Fachkenntnisse erfordere, schwer zu erkennen sei und nur wenige Unternehmen darauf achteten.
AitM- und Pass-the-Cookie-Angriffe
Die beiden führenden Methoden des von DART beobachteten Token-Diebstahls sind Adversary-in-the-Middle-Frameworks (AitM) und Pass-the-Cookie-Angriffe.
Im Fall von AitM warnte das Team: „Frameworks wie Evilginx2 gehen weit über das Phishing von Zugangsdaten hinaus, indem sie eine bösartige Infrastruktur zwischen dem Benutzer und der legitimen Anwendung einschleusen, auf die der Benutzer zugreifen möchte. Wird der Benutzer Opfer eines Phishing-Angriffs, erfasst die bösartige Infrastruktur sowohl dessen Zugangsdaten als auch den Token.“
Je nach Berechtigungen des Opfers kann das Ergebnis von einer Kompromittierung geschäftlicher E-Mails (BEC) bis zur vollständigen Übernahme der administrativen Kontrolle reichen.
Bei Pass-the-Cookie-Angriffen geht es um die Kompromittierung von Browser-Cookies für den Zugriff auf Unternehmensressourcen. „Nach der Authentifizierung bei Azure AD über einen Browser wird ein Cookie erstellt und für diese Sitzung gespeichert“, erklärte das Team. „Kann ein Angreifer ein Gerät kompromittieren und die Browser-Cookies extrahieren, kann er dieses Cookie in einen separaten Webbrowser auf einem anderen System übertragen und dabei Sicherheitsprüfungen umgehen.“
Das ist besonders bei privaten Geräten problematisch. Da immer mehr Beschäftigte remote arbeiten, greifen sie laut DART zunehmend von Geräten aus auf Unternehmensressourcen zu, denen es an starken Sicherheitskontrollen fehlt.
„Benutzer können auf diesen Geräten gleichzeitig bei privaten Websites und Unternehmensanwendungen angemeldet sein, sodass Angreifer die zu beiden gehörenden Token kompromittieren können“, schrieb das Team.
Schadsoftware von der Stange wie Emotet, Redline und IcedID verfügt über integrierte Funktionen zum Abgreifen von Browser-Cookies. Darüber hinaus stellte DART fest: „Der Angreifer muss weder das Passwort des kompromittierten Kontos noch die E-Mail-Adresse kennen, damit dies funktioniert – diese Angaben sind im Cookie enthalten.“
Ebenfalls lesenswert: Die Herausforderungen der passwortlosen Zukunft
So reagieren Sie auf Token-Diebstahl
Zu den wichtigsten Gegenmaßnahmen gehört laut DART, vollständige Transparenz darüber zu gewährleisten, wie und wo sich alle Benutzer authentifizieren.
„Wenn nur bekannte Geräte zugelassen werden, die Microsofts empfohlenen Sicherheitsstandards entsprechen, lässt sich das Risiko verringern, dass Schadsoftware zum Diebstahl von Zugangsdaten Endgeräte kompromittieren kann“, schrieb das Team.
Für nicht verwaltete Geräte empfiehlt DART, die Lebensdauer jeder Sitzung zu verkürzen, damit ein bestimmter Token weniger lange gültig ist, und Conditional Access App Control in Microsoft Defender for Cloud Apps zu implementieren.
Für Benutzer mit weitreichenden Berechtigungen empfiehlt DART außerdem die Implementierung von phishingresistenten MFA-Lösungen wie FIDO2-Sicherheitsschlüsseln, Windows Hello for Business oder zertifikatsbasierter Authentifizierung. Diese Benutzer sollten außerdem über eine getrennte, ausschließlich in der Cloud verwendete Identität für Administratoraufgaben verfügen.
Wurde ein Benutzer kompromittiert, bietet Azure AD laut DART die Möglichkeit, einen Refresh-Token zu widerrufen und den Benutzer zu einer erneuten Authentifizierung zu zwingen – der Token kann jedoch bis zu einer Stunde lang gültig bleiben, sodass der Angreifer bis zu dessen Ablauf Zugriff auf das Konto hat.
DART empfiehlt außerdem, das Konto jedes kompromittierten Benutzers auf Anzeichen für Persistenz zu überprüfen, etwa hinzugefügte Postfachregeln zum Weiterleiten oder Verbergen von E-Mails, zusätzliche zur MFA hinzugefügte Authentifizierungsmethoden, die Registrierung zusätzlicher Geräte und Datenexfiltration.
„Transparenz, Warnmeldungen, Erkenntnisse und ein umfassendes Verständnis darüber, wo Sicherheitskontrollen durchgesetzt werden, sind entscheidend“, schrieb das Team. „Es wird dringend empfohlen, sowohl Identitätsanbieter, die Zugriffstoken erzeugen, als auch die zugehörigen privilegierten Identitäten als kritische Ressourcen zu behandeln.“
Möchten Sie sicherstellen, dass Angreifer die MFA in Ihrem Unternehmen nicht umgehen? Die Extended-Detection-and-Response-Plattform (XDR) von Rapid7 kann Ihnen dabei helfen, Ihr Unternehmen vor unbefugtem Zugriff und Datenschutzverletzungen zu schützen. Sprechen Sie mit einem Experten noch heute.
Weiterlesen: