Дослідники компанії Huntress розкрили масштабну кампанію з компрометації облікових записів Microsoft 365, у якій зловмисники відтворювали викрадені токени автентифікації замість підбору паролів. За даними Huntress, з 14 липня по 22 вересня 2026 року було зафіксовано 497 успішних входів у системи 79 організацій за більш ніж 200 000 невдалих спроб. Зловмисники також зареєстрували щонайменше 48 підроблених пристроїв у каталогах Microsoft Entra ID постраждалих компаній. Кампанія обходила багатофакторну автентифікацію (MFA) і вимагає від організацій негайної перевірки зареєстрованих пристроїв, методів MFA та правил обробки вхідної пошти.
Механізм атаки: від перехоплення до відтворення
Кампанія використовувала техніку adversary-in-the-middle (AitM) — зловмисник розміщував проміжну сторінку входу між жертвою та легітимною інфраструктурою Microsoft. Коли користувач проходив автентифікацію, включно з введенням коду MFA, проміжний сервер перехоплював виданий Microsoft токен доступу — «доказ входу». Цей токен потім відтворювався з інфраструктури зловмисників протягом кількох хвилин без необхідності повторного проходження MFA.
За даними Huntress, токени надходили з кількох джерел: AitM-ретранслятори за підробленими сторінками входу, фішинг через механізм кодів пристроїв (device-code phishing) і соціальна інженерія під час легітимного процесу входу. Дослідники назвали цей підхід token spraying — за аналогією з password spraying, але замість паролів масово відтворюються викрадені токени для багатьох організацій.
Інфраструктура атаки була розділена на два рівні: AitM-ретранслятори для перехоплення сесій та окремі хости для відтворення токенів. Відтворення здійснювалося з діапазону 193.26.115[.]0/24, пов’язаного з німецьким хостинг-провайдером 1337 Services GmbH. За 10 тижнів зловмисники послідовно використали шість IP-адрес у цьому блоці.
Закріплення й постексплуатація
Після отримання доступу зловмисники негайно закріплювалися в скомпрометованих середовищах. За даними Huntress, у 19 організаціях наявні методи MFA було видалено й замінено новими протягом трьох годин після першого входу. В одному випадку, зафіксованому 21 липня 2026 року, новий додаток-автентифікатор з ім’ям «iPhone 13» було активовано менш ніж через 51 хвилину після захоплення сесії.
Паралельно зловмисники реєстрували підроблені пристрої в каталогах Entra ID жертв. Як зазначають дослідники, зареєстрований пристрій забезпечує більш стійкий спосіб запиту токенів, ніж викрадена сесія, і лишається в каталозі доти, доки його не видалять вручну.
На етапі постексплуатації зловмисники створювали приховані правила обробки вхідної пошти з іменами на кшталт «.», «sss», «s», «d», «iT». Ці правила видаляли або переміщували в малопомітні папки (RSS Feeds, Conversation History) листи, що містять ключові слова, пов’язані з зарплатою, бонусами та прямими депозитами. В одному зі скомпрометованих поштових ящиків правило позначало всю вхідну пошту як прочитану та видаляло її, після чого ящик використовувався для розсилання спаму сотням зовнішніх отримувачів.
Ефективність Conditional Access
Дані Huntress щодо вересневої фази кампанії демонструють характерну картину: з однієї адреси було виконано 303 успішні входи в 29 організаціях, при цьому та сама адреса отримала 1 052 заблоковані спроби — але всі блокування припали лише на чотири організації з налаштованими політиками умовного доступу (Conditional Access Policies). В решті 29 організацій нічого не перешкоджало входу. Це показує, що сама по собі MFA не захищає від відтворення токенів — необхідні додаткові політики умовного доступу.
Зв’язок із попередніми кампаніями
Описана кампанія вписується в сталу тенденцію атак на хмарні сервіси Microsoft через перехоплення сесій. Раніше ми вже писали про кампанію Payroll Pirates, що використовувала AitM-фішинг проти Microsoft 365, а також про платформу NovaCookies для викрадення сесій Microsoft 365. Поточна кампанія відрізняється масштабом автоматизації та розділенням інфраструктури перехоплення й відтворення, що ускладнює виявлення.
Індикатори компрометації
Huntress опублікувала такі IP-адреси, пов’язані з інфраструктурою відтворення токенів:
193.26.115[.]221— хост відтворення та реєстрації пристроїв (фаза 1, липень–серпень)193.26.115[.]199— хост відтворення сесій (фаза 1)193.26.115[.]16— хост відтворення та device-code фішингу (фаза 2)193.26.115[.]21,193.26.115[.]72,193.26.115[.]210
Додаткові адреси, пов’язані з кампанією: 124.198.132[.]33, 45.83.31[.]44, 192.159.99[.]172, 185.238.2[.]195, 167.148.41[.]96.
Рекомендації щодо реагування
Huntress підкреслює, що скидання пароля саме по собі недостатнє — воно не видаляє зареєстровані зловмисником пристрої та методи MFA, а токен доступу лишається дійсним приблизно 90 хвилин після скидання. Рекомендовані дії:
- В Revoke усі активні сесії і скинути пароль — саме в такому порядку
- Перевірити пристрої Entra ID — видалити незнайомі записи виду
DESKTOP-* - Провести аудит методів MFA — видалити невідомі додатки-автентифікатори
- Перевірити правила обробки пошти — шукати правила з односимвольними або крапковими іменами
- Перевірити зареєстровані корпоративні додатки на наявність несанкціонованих
- Налаштувати політики умовного доступу — безумовно вимагати MFA (або блокувати) для всіх користувачів, усіх хмарних застосунків та всіх типів клієнтських застосунків
- Обмежити device-code автентифікацію через Conditional Access
Організаціям, які використовують Microsoft 365, слід негайно перевірити журнали входів на наявність автентифікацій із діапазону 193.26.115[.]0/24, провести аудит зареєстрованих пристроїв і методів MFA в Entra ID, а також переконатися, що політики умовного доступу охоплюють усі типи застосунків і користувачів без винятків. Блокування лише IP-діапазону відтворення не усуне загрозу — інфраструктура перехоплення токенів розміщується на окремих адресах, і зловмисники регулярно змінюють хости.
