تکنیک حمله TrustSink با سوءاستفاده از مدل اعتماد فدره (Federated Trust Model) در سرویس Microsoft Entra ID، تلاش می‌کند تا از طریق یک تامین‌کننده MFA جعلی، اعتبارنامه‌های کاربران را در هنگام تلاش برای ورود قانونی سرقت کند.
مکانیزم عملکرد TrustSink
در این روش، عامل تهدید (Threat Actor) یک تامین‌کننده MFA غیرمجاز را در فرآیند احراز هویت تزریق می‌کند. برخلاف روش‌های رایج فیشینگ که بر صفحات جعلی متکی هستند، TrustSink زیرساخت‌های احراز هویت مورد اعتماد را به سلاح تبدیل می‌کند. این حمله باعث می‌شود رمزهای عبور به صورت متن ساده (Plaintext) و در لحظه، بدون اطلاع کاربر ضبط شوند.
تاثیرات امنیتی و مخاطرات
- نامرئی بودن: به دلیل اجرا در جریان‌های کاری (Workflows) قانونی احراز هویت، این حمله برای کاربران و بسیاری از ابزارهای امنیتی سنتی غیرقابل شناسایی است.
- دسترسی غیرمجاز: پس از سرقت اعتبارنامه‌ها، مهاجم می‌تواند به عنوان کاربر قانونی وارد شده و به منابع حساس، اپلیکیشن‌های ابری (Cloud Applications) و داده‌های سازمانی دسترسی پیدا کند.
- تداوم و گسترش: این دسترسی‌ها می‌توانند بستری برای حرکت جانبی (Lateral Movement)، افزایش سطح دسترسی (Privilege Escalation) و ایجاد تداوم (Persistence) طولانی‌مدت در سیستم‌های متصل فراهم کنند.
سازمان‌های در معرض ریسک
سازمان‌هایی که از Microsoft Entra ID با پیکربندی‌های هویت فدره (Federated Identity) استفاده می‌کنند و دارای حاکمیت ضعیف در مدیریت فدره یا نظارت محدود بر تامین‌کنندگان خارجی هویت هستند، بیشترین ریسک را برای مواجهه با نشت داده‌ها و نقض مقررات امنیتی دارند.
