João Miguel Mesquita
A Proofpoint identificou uma nova técnica utilizada em campanhas de grande escala contra o Microsoft Entra, a plataforma de gestão de identidades e acessos na cloud. O método assenta na falsificação de identificadores de cliente OAuth, permitindo aos atacantes contornar mecanismos de deteção que dependem da identificação das aplicações envolvidas nos pedidos de autenticação.
O OAuth é um protocolo usado para autorizar aplicações a aceder a determinados serviços sem exigir a partilha direta da palavra-passe. No Microsoft Entra, cada aplicação registada possui normalmente um identificador próprio, que fica associado aos eventos guardados nos registos de segurança. Esta informação ajuda as equipas de cibersegurança a perceber que aplicação originou uma tentativa de acesso e a relacionar diferentes atividades suspeitas.
Os atacantes estão, porém, a explorar o funcionamento normal do serviço de autenticação para introduzir identificadores falsificados em vez dos códigos pertencentes a aplicações legítimas. Como esses identificadores não correspondem a aplicações registadas, o nome da aplicação deixa de surgir nos registos.
A ausência desse nome elimina um dos principais elementos usados pelas equipas de segurança para relacionar tentativas de acesso, identificar padrões e detetar campanhas em curso.
A técnica permite ainda testar credenciais sem que o processo resulte num início de sessão completo. Os atacantes conseguem verificar se uma palavra-passe é válida, perceber se poderá estar expirada e determinar se a conta está protegida por autenticação multifator ou por políticas de acesso condicional. Como a sessão não chega a ser concluída e a aplicação permanece por identificar, parte desta atividade pode escapar às ferramentas tradicionais de acompanhamento.
Na prática, o ataque transforma o próprio processo de autenticação numa ferramenta de reconhecimento, usada para avaliar contas antes de uma tentativa de intrusão mais direta.
A dimensão do problema tornou-se visível na análise de duas campanhas independentes. A operação identificada como UNK_PyReq2323 utilizou mais de 700 mil identificadores falsificados a partir de infraestruturas da Amazon Web Services. A campanha dirigiu-se a mais de um milhão de contas distribuídas por quase quatro mil organizações.
A segunda operação, designada UNK_OutFlareAZ, recorreu a uma abordagem diferente. Os atacantes geraram 3,7 milhões de identificadores aleatórios e únicos através de infraestruturas da Cloudflare, atingindo mais de dois milhões de utilizadores. A utilização de um identificador diferente em cada pedido dificulta a criação de regras de deteção baseadas na repetição de valores conhecidos.
Apesar de recorrerem a ferramentas e infraestruturas distintas, as duas campanhas adotaram, de forma aparentemente não coordenada, o mesmo princípio de ocultação da identidade da aplicação. Esta convergência aponta para uma evolução das técnicas de reconhecimento de contas, com os atacantes a procurarem reduzir os sinais disponíveis nos sistemas de segurança antes de avançarem para outras fases da operação.
A resposta exige uma revisão dos critérios utilizados para analisar os eventos de início de sessão no Microsoft Entra. Os responsáveis de tecnologia e cibersegurança devem dar particular atenção aos registos em que o campo relativo à aplicação se encontra vazio ou não contém um identificador reconhecido.
Os sistemas SIEM, que centralizam e relacionam eventos de segurança, também devem ser ajustados para detetar padrões distribuídos sem depender exclusivamente do nome ou do identificador da aplicação. Esta alteração torna-se particularmente relevante quando os atacantes conseguem gerar milhões de códigos diferentes e repartir a atividade por múltiplos pedidos e contas.
Os campos vazios deixam, assim, de poder ser tratados como simples falhas de informação e passam a constituir um possível indicador de atividade maliciosa.
A análise dos códigos de erro AADSTS representa outro elemento importante. Estes códigos podem revelar tentativas de validação de credenciais, contas protegidas por autenticação multifator ou bloqueios provocados por políticas de acesso condicional, mesmo quando o início de sessão não é concluído. A correlação desses erros com o volume, a origem e a distribuição dos pedidos pode ajudar a recuperar parte da visibilidade perdida com a falsificação dos identificadores OAuth.
