Исследователи компании Huntress раскрыли масштабную кампанию по компрометации учётных записей Microsoft 365, в которой злоумышленники воспроизводили украденные токены аутентификации вместо подбора паролей. По данным Huntress, с 14 июля по 22 сентября 2026 года было зафиксировано 497 успешных входов в системы 79 организаций при более чем 200 000 неудачных попыток. Атакующие также зарегистрировали не менее 48 поддельных устройств в каталогах Microsoft Entra ID пострадавших компаний. Кампания обходила многофакторную аутентификацию (MFA) и требует от организаций немедленной проверки зарегистрированных устройств, методов MFA и правил обработки входящей почты.
Механизм атаки: от перехвата до воспроизведения
Кампания использовала технику adversary-in-the-middle (AitM) — злоумышленник размещал промежуточную страницу входа между жертвой и легитимной инфраструктурой Microsoft. Когда пользователь проходил аутентификацию, включая ввод кода MFA, промежуточный сервер перехватывал выданный Microsoft токен доступа — «доказательство входа». Этот токен затем воспроизводился с инфраструктуры атакующих в течение нескольких минут, без необходимости повторного прохождения MFA.
По данным Huntress, токены поступали из нескольких источников: AitM-ретрансляторы за поддельными страницами входа, фишинг через механизм кодов устройств (device-code phishing) и социальная инженерия во время легитимного процесса входа. Исследователи назвали этот подход token spraying — по аналогии с password spraying, но вместо паролей массово воспроизводятся украденные токены по множеству организаций.
Инфраструктура атаки была разделена на два уровня: AitM-ретрансляторы для перехвата сессий и отдельные хосты для воспроизведения токенов. Воспроизведение велось из диапазона 193.26.115[.]0/24, связанного с немецким хостинг-провайдером 1337 Services GmbH. За 10 недель атакующие последовательно использовали шесть IP-адресов в этом блоке.
Закрепление и постэксплуатация
После получения доступа злоумышленники немедленно закреплялись в скомпрометированных средах. По данным Huntress, в 19 организациях существующие методы MFA были удалены и заменены новыми в течение трёх часов после первого входа. В одном случае, зафиксированном 21 июля 2026 года, новое приложение-аутентификатор с именем «iPhone 13» было активировано менее чем через 51 минуту после захвата сессии.
Параллельно атакующие регистрировали поддельные устройства в каталогах Entra ID жертв. Как отмечают исследователи, зарегистрированное устройство обеспечивает более устойчивый способ запроса токенов, чем украденная сессия, и остаётся в каталоге до тех пор, пока его не удалят вручную.
На этапе постэксплуатации злоумышленники создавали скрытые правила обработки входящей почты с именами вроде «.», «sss», «s», «d», «iT». Эти правила удаляли или перемещали в малозаметные папки (RSS Feeds, Conversation History) письма, содержащие ключевые слова, связанные с зарплатой, бонусами и прямыми депозитами. В одном из скомпрометированных почтовых ящиков правило помечало все входящие как прочитанные и удаляло их, после чего ящик использовался для рассылки спама сотням внешних получателей.
Эффективность Conditional Access
Данные Huntress по сентябрьской фазе кампании показывают характерную картину: с одного адреса было выполнено 303 успешных входа в 29 организаций, при этом тот же адрес получил 1 052 заблокированных попытки — но все блокировки пришлись лишь на четыре организации с настроенными политиками условного доступа (Conditional Access Policies). В остальных 29 организациях ничего не препятствовало входу. Это демонстрирует, что MFA сама по себе не защищает от воспроизведения токенов — необходимы дополнительные политики условного доступа.
Связь с предыдущими кампаниями
Описанная кампания вписывается в устойчивую тенденцию атак на облачные сервисы Microsoft через перехват сессий. Ранее мы уже писали о кампании Payroll Pirates, использовавшей AitM-фишинг против Microsoft 365, а также о платформе NovaCookies для кражи сессий Microsoft 365. Текущая кампания отличается масштабом автоматизации и разделением инфраструктуры перехвата и воспроизведения, что усложняет обнаружение.
Индикаторы компрометации
Huntress опубликовала следующие IP-адреса, связанные с инфраструктурой воспроизведения токенов:
193.26.115[.]221— хост воспроизведения и регистрации устройств (фаза 1, июль–август)193.26.115[.]199— хост воспроизведения сессий (фаза 1)193.26.115[.]16— хост воспроизведения и device-code фишинга (фаза 2)193.26.115[.]21,193.26.115[.]72,193.26.115[.]210
Дополнительные адреса, связанные с кампанией: 124.198.132[.]33, 45.83.31[.]44, 192.159.99[.]172, 185.238.2[.]195, 167.148.41[.]96.
Рекомендации по реагированию
Huntress подчёркивает, что сброс пароля сам по себе недостаточен — он не удаляет зарегистрированные атакующим устройства и методы MFA, а токен доступа остаётся действительным примерно 90 минут после сброса. Рекомендуемые действия:
- Отозвать все активные сессии и сбросить пароль — именно в таком порядке
- Проверить устройства Entra ID — удалить незнакомые записи вида
DESKTOP-* - Аудит методов MFA — удалить неизвестные приложения-аутентификаторы
- Проверить правила обработки почты — искать правила с однобуквенными или точечными именами
- Проверить зарегистрированные корпоративные приложения на предмет несанкционированных
- Настроить политики условного доступа — требовать MFA (или блокировать) для всех пользователей, всех облачных приложений и всех типов клиентских приложений безусловно
- Ограничить device-code аутентификацию через Conditional Access
Организациям, использующим Microsoft 365, следует немедленно проверить журналы входов на предмет аутентификаций из диапазона 193.26.115[.]0/24, провести аудит зарегистрированных устройств и методов MFA в Entra ID, а также убедиться, что политики условного доступа покрывают все типы приложений и пользователей без исключений. Блокировка только IP-диапазона воспроизведения не устранит угрозу — инфраструктура перехвата токенов находится на отдельных адресах, и атакующие регулярно меняют хосты.
