پژوهشگران امنیتی در Varonis Threat Labs تکنیکی جدید به نام TrustSink را شناسایی کرده‌اند که به مهاجمان دارای دسترسی‌های بالا اجازه می‌دهد تا یک تامین‌کننده خارجی MFA (احراز هویت چندعاملی) جعلی ثبت کنند و از این طریق، گذرنامه‌های کاربران را در حین فرآیند ورود قانونی سرقت نمایند.
مکانیسم حمله TrustSink
این حمله بر پایه سوءاستفاده از مدل احراز هویت خارجی در Microsoft Entra استوار است. در حالت عادی، سازمان‌ها می‌توانند از سرویس‌های شخص ثالث برای تکمیل درخواست‌های MFA استفاده کنند. زمانی که کاربر مرحله اول (مانند رمز عبور) را طی می‌کند، Entra کاربر را به تامین‌کننده MFA خارجی هدایت می‌کند تا مرحله دوم را تکمیل نماید.
در این سناریو، مهاجمی که پیش‌تر یک حساب با دسترسی بالا (Privileged Account) را در Entra به دست آورده است، یک روش احراز هویت خارجی (EAM) مخرب را ثبت می‌کند. این تامین‌کننده جعلی، یک صفحه درخواست رمز عبور مشابه و متقاعدکننده از مایکروسافت را در مسیر احراز هویت قرار می‌دهد.
- سرقت داده‌ها: کاربر پس از ورود به سایت قانونی
login.microsoftonline.com، در مرحله MFA به صفحه جعلی هدایت شده و رمز عبور خود را به صورت Plaintext وارد می‌کند. - تکمیل بدون خطا: تامین‌کننده مخرب پس از دریافت رمز، یک توکن امضا شده (Signed Token) معتبر به Entra بازمی‌گرداند تا کاربر تصور کند فرآیند ورود با موفقیت انجام شده است.
- ماندگاری: حتی در صورت تغییر رمز عبور توسط کاربر، تا زمانی که تامین‌کننده جعلی از تنظیمات Authentication Methods Policy حذف نشود، رمز جدید در اولین ورود بعدی مجدداً سرقت خواهد شد.
پیش‌نیازها و تحلیل فنی
باید توجه داشت که TrustSink یک حمله برای دسترسی اولیه (Initial Access) نیست، بلکه یک تکنیک Post-Compromise است. برای اجرای این حمله، مهاجم باید دسترسی Global Administrator یا Authentication Policy Administrator داشته باشد تا بتواند سیاست‌های احراز هویت را تغییر داده و Application و Service Principal مربوطه را ایجاد کند.
راهکارهای مقابله و پیشگیری
برای مقابله با این تهدید، مدیران SOC و امنیت باید اقدامات زیر را به کار گیرند:
- بررسی و حذف تامین‌کنندگان MFA خارجی مشکوک و Applicationهای مرتبط با آن‌ها پیش از بازنشانی (Reset) رمز عبور کاربران.
- مانیتورینگ دقیق تغییرات در Authentication Methods Policy.
- محدود کردن دسترسی‌های دائمی Global Administrator.
- استفاده از روش‌های احراز هویت مقاوم در برابر فیشینگ (Phishing-resistant) مانند FIDO2 یا Windows Hello for Business.
