Microsoft heeft geadviseerd over beveiligingsmaatregelen als reactie op bedreigingsactoren die OAuth-applicaties gebruiken om een verscheidenheid aan kwaadaardige activiteiten uit te voeren. Om zich tegen dergelijke inbraken te beschermen, stelt Microsoft het gebruik van multi-factor authenticatie (MFA) voor om het opvullen van inloggegevens te belemmeren en phishing-pogingen te dwarsbomen. Bovendien beveelt het aan dat beveiligingsteams een beleid voor voorwaardelijke toegang hanteren en een continue toegangsevaluatie uitvoeren om aanvallen met behulp van gestolen inloggegevens in te perken, en ervoor te zorgen dat de toegang onmiddellijk wordt ingetrokken wanneer risicotriggers worden geactiveerd.
Microsoft Security onthulde hoe bedreigingsactoren OAuth-applicaties misbruiken om financieel gedreven aanvallen te automatiseren. In het bericht werd uitgelegd hoe deze aanvallen werken, wat enkele voorbeelden zijn van recente aanvallen en wat enkele aanbevelingen zijn voor klanten en organisaties om zichzelf te beschermen tegen misbruik van OAuth-tokens.
Dreigingsactoren kunnen kwaadaardige OAuth-applicaties maken en gebruikers misleiden om hen toegang te verlenen tot hun online accounts. Zodra de toegang is verleend, kunnen de bedreigingsactoren de OAuth-tokens gebruiken om toegang te krijgen tot gebruikersgegevens, zoals e-mail, contacten en financiële informatie, vanuit verschillende cloudservices en-applicaties. De bedreigingsactoren kunnen deze gegevens vervolgens gebruiken om verdere aanvallen uit te voeren, zoals phishing, fraude of ransomware.
Bedreigingsactoren die OAuth-exploits in het wild gebruiken
Microsoft gaf ook enkele voorbeelden van recente aanvallen waarbij OAuth-tokens werden gebruikt om toegang te krijgen tot gebruikersgegevens. Eén daarvan is Storm-0558, een in China gevestigde bedreigingsacteur die zich richtte op e-mailaccounts van klanten in de publieke cloud. De bedreigingsacteur gebruikte een phishing-campagne om gebruikers ertoe te verleiden toegang te verlenen tot een kwaadaardige OAuth-applicatie die zich voordeed als een legitieme cloudservice. De bedreigingsacteur gebruikte vervolgens de OAuth-tokens om toegang te krijgen tot de e-mail en contacten van de gebruiker, en om phishing-e-mails naar de contacten van de gebruiker te sturen. De phishing-e-mails bevatten kwaadaardige bijlagen of links die malware of ransomware bij de ontvangers afleverden.
Een ander voorbeeld is Storm-0978, een in Rusland gevestigde bedreigingsacteur die zich richtte op defensie-en overheidsentiteiten in Europa en Noord-Amerika. De bedreigingsacteur gebruikte een vergelijkbare techniek om toegang te krijgen tot gebruikersgegevens, maar in plaats van phishing-e-mails gebruikten ze spear-phishing-e-mails die waren afgestemd op de specifieke interesses of rollen van de ontvangers. De bedreigingsacteur gebruikte ook een kwaadaardige OAuth-applicatie die zich voordeed als een legitieme cloudservice, en gebruikte de OAuth-tokens om toegang te krijgen tot de e-mail en contacten van de gebruiker, en om spear-phishing-e-mails naar de contacten van de gebruiker te sturen. De spearphishing-e-mails bevatten kwaadaardige bijlagen of links die malware of ransomware bij de ontvangers afleverden.
Hoe u misbruik van OAuth-tokens kunt beperken
Gebruik multi-factor authenticatie (MFA) voor alle online accounts, vooral voor clouddiensten en-applicaties. MFA voegt een extra beveiligingslaag toe door een tweede factor te vereisen, zoals een code of een biometrie, om de identiteit van de gebruiker te verifiëren. Controleer OAuth-activiteitenlogboeken op verdacht of afwijkend gedrag, zoals het verlenen van toegang tot onbekende of niet-vertrouwde applicaties, of het verkrijgen van toegang tot gegevens vanaf ongebruikelijke locaties of apparaten. OAuth-activiteitenlogboeken zijn toegankelijk via het beveiligingsdashboard van de cloudservice of applicatieprovider. Pas beveiligingsupdates toe voor alle apparaten, applicaties en cloudservices. Beveiligingsupdates kunnen kwetsbaarheden verhelpen die door bedreigingsactoren kunnen worden uitgebuit om toegang te krijgen tot gebruikersgegevens of apparaten. Informeer gebruikers over de risico’s van misbruik van OAuth-tokens en hoe u phishing-of spearphishing-e-mails kunt vermijden. Gebruikers moeten zich bewust zijn van de tekenen van een kwaadaardige OAuth-toepassing, zoals een niet-overeenkomende of verkeerd gespelde naam, een vage of algemene beschrijving of een verzoek om buitensporige of onnodige machtigingen. Gebruikers moeten ook voorzichtig zijn met het openen van bijlagen of het klikken op links van onbekende of niet-vertrouwde bronnen.
