بر اساس گزارش محققان شرکت Huntress، یک عامل تهدید (Threat Actor) با استفاده از بازپخش (Replay) نشست‌های سرقت‌شده (Stolen Sessions) در Microsoft 365، موفق به نفوذ به حساب‌های ایمیل ۷۹ سازمان شده است. این حملات که در بازه زمانی جولای تا سپتامبر انجام شده، از تکنیک‌های پیشرفته‌ای برای دور زدن مکانیزم‌های امنیتی استفاده کرده‌اند.
مهاجمان با استفاده از روش‌های Adversary-in-the-Middle (AiTM)، صفحات جعلی ورود را جایگزین صفحات اصلی مایکروسافت کرده و با انتقال درخواست‌های MFA به کاربر واقعی، توکن‌های نشست (Session Tokens) را سرقت می‌کردند. از آنجایی که این توکن‌ها پس از مرحله احراز هویت چندعاملی (MFA) صادر می‌شوند، مهاجم می‌تواند بدون نیاز به رمز عبور یا تایید مجدد MFA، از حساب کاربری استفاده کند.
تکنیک Token Spraying و روش‌های سرایت
محققان این رفتار را “Token Spraying” نامیده‌اند؛ تکنیکی مشابه Password Spraying که در آن مهاجم به جای حدس زدن رمز عبور، از توکن‌های سرقت‌شده به صورت انبوه استفاده می‌کند. علاوه بر AiTM، مهاجمان از روش‌های دیگری نظیر Device-code Phishing و مهندسی اجتماعی (Social Engineering) نیز برای دستیابی به دسترسی‌ها بهره برده‌اند.
تثبیت حضور و ماندگاری در شبکه (Persistence)
پس از ورود به حساب‌ها، مهاجمان برای حفظ دسترسی خود حتی پس از انقضای نشست، اقدامات زیر را انجام دادند:
- ثبت دستگاه‌های جعلی: ثبت حداقل ۴۸ کامپیوتر غیرمجاز در دایرکتوری‌های Microsoft Entra برای حفظ حضور در سیستم.
- تغییر روش‌های MFA: در ۱۹ سازمان، روش‌های احراز هویت موجود پاک شده و یک روش جدید (مانند اپلیکیشن Authenticator مهاجم) ثبت شده است.
- ایجاد قوانین ایمیل (Inbox Rules): تنظیم قوانینی برای حذف خودکار ایمیل‌های حساس یا انتقال آن‌ها به پوشه‌های مخفی (مانند RSS Feeds) جهت جلوگیری از مشاهده فعالیت‌های مخرب توسط کاربران.
این حملات نشان می‌دهد که سیاست‌های دسترسی مشروط (Conditional Access) می‌توانند شکاف‌های امنیتی موجود در MFA را پوشش داده و از نفوذهای مبتنی بر سرقت توکن جلوگیری کنند.
