Onderzoekers van Proofpoint hebben een techniek geïdentificeerd waarmee aanvallers Microsoft Entra ID-accounts kunnen inventariseren zonder een kwetsbaarheid te misbruiken. Door OAuth client-ID’s te vervalsen omzeilen aanvallers detectiemethoden die securityteams doorgaans inzetten. Het bedrijf constateert dat meerdere campagnes onafhankelijk van elkaar deze werkwijze toepassen.
Beveiligingsonderzoekers van Proofpoint hebben een techniek geïdentificeerd waarmee aanvallers Microsoft Entra ID-omgevingen kunnen inventariseren zonder gebruik te maken van een kwetsbaarheid. Volgens het bedrijf vervalsen aanvallers OAuth client-ID’s om gebruikersnamen te valideren, de geldigheid van wachtwoorden af te leiden en geschikte doelwitten te identificeren. Hierbij gebruiken zij geen geregistreerde OAuth-applicatie en genereren zij niet de aanmeldingsgebeurtenissen die securityteams doorgaans monitoren.
Werkwijze van de techniek
Een OAuth client-ID is een globaal unieke identificatiecode die aan applicaties wordt toegewezen en in authenticatieverzoeken wordt doorgegeven als ‘client_id’. In de aanmeldingslogboeken van Entra wordt deze code geregistreerd als applicatie-ID. Proofpoint meldt dat Microsoft Entra ID verschillende reacties teruggeeft afhankelijk van of een opgegeven client-ID geldig is en overeenkomt met een geregistreerde applicatie. Door dit gedrag te misbruiken kunnen aanvallers accounts inventariseren zonder dat er een geregistreerde OAuth-applicatie nodig is, en kunnen zij de geldigheid van wachtwoorden of de status van accounts afleiden zonder een succesvolle aanmelding.
Omzeilen van bestaande detectie
Traditionele enumeration tools richten zich volgens Proofpoint op hardgecodeerde first-party applicaties, zoals Azure AD PowerShell, die in alle tenants aanwezig zijn. Een plotselinge toename van authenticatieverzoeken naar één applicatie valt beveiligers doorgaans snel op. Door verzoeken te verspreiden over meerdere fictieve applicaties wordt het volgens het bedrijf moeilijker om activiteiten met elkaar in verband te brengen, waardoor aanvallers detecties en snelheidsbeperkingen per applicatie omzeilen. Omdat er bij een vervalste client-ID geen bijbehorende applicatienaam wordt vastgelegd, missen detecties die zoeken naar pieken bij een specifieke applicatienaam deze activiteit volledig. Ook Conditional Access-beleidsregels die gericht zijn op specifieke applicaties worden hierdoor niet geactiveerd.
Proofpoint heeft meerdere grootschalige campagnes waargenomen waarbij vervalste OAuth application identifiers worden ingezet. De verschillen in gebruikte tools, infrastructuur en uitvoeringspatronen wijzen er volgens het bedrijf op dat meerdere cybercriminelen deze techniek onafhankelijk van elkaar toepassen, wat duidt op groeiende populariteit binnen cloudgerichte aanvallen.
Aanbevelingen voor securitybeheerders
Proofpoint adviseert securitybeheerders om aanmeldingslogboeken te controleren op gebeurtenissen zonder applicatienaam, aangezien dit kan duiden op vervalste client-ID’s. Het bedrijf wijst er daarnaast op dat de foutcode AADSTS700016 niet automatisch als mislukte aanmeldingspoging moet worden beschouwd, maar ook kan wijzen op gecompromitteerde inloggegevens. Zonder deze aanpassing in monitoring kunnen beveiligers geldige inloggegevens over het hoofd zien, ook wanneer de inventarisatiepoging zelf wordt opgemerkt.
