Aanval op externe MFA-leveranciers kan wachtwoorden stelen tijdens inloggen

Onderzoekers hebben een aanval ontwikkeld die het mogelijk maakt voor hackers met geprivilegieerde toegang om een kwaadaardige externe MFA-leverancier te registreren die de wachtwoorden van gebruikers steelt tijdens legitieme inlogpogingen. Deze techniek, genaamd TrustSink door Varonis Threat Labs, kan werken met elke aanbieder die gebruikmaakt van dit externe authenticatiemodel, waarbij het voorbeeld met Microsoft Entra is gedemonstreerd.

Microsoft Entra ondersteunt externe MFA-leveranciers, waardoor organisaties derde partijen kunnen inschakelen voor multifactor-authenticatie. Wanneer een gebruiker zich aanmeldt met een eerste factor, zoals een wachtwoord, kan Entra hen doorverwijzen naar een externe MFA-leverancier om de vereiste tweede factor te voltooien.

Varonis ontdekte dat een aanvaller die al een hooggeprivilegieerd Entra-account heeft gecompromitteerd, een kwaadaardige externe authenticatiemethode kan registreren als een van deze externe MFA-leveranciers. Hierdoor kan de aanvaller een overtuigende Microsoft-wachtwoordprompt invoegen in de legitieme authenticatiestroom, waarmee het wachtwoord van de gebruiker in platte tekst wordt vastgelegd.

Het kwaadaardige systeem retourneert vervolgens een geldig ondertekend token aan Entra, waardoor de inlog zonder foutmelding wordt voltooid. Varonis merkte op dat in hun testomgeving elke aanmelding normaal werd voltooid terwijl hun server wachtwoorden met tijdstempels en bron-IP-adressen ontving.

Een belangrijk punt is dat TrustSink geen aanvankelijke toegang-aanval is; de aanvaller moet al controle hebben over een hooggeprivilegieerd Entra-account. Deze aanval maakt misbruik van het vertrouwen dat Microsoft stelt in een geconfigureerde externe MFA-leverancier, door een kwaadaardige provider te creëren die zich voordoet als een legitieme externe MFA-leverancier.

Voor organisaties die met AI werken of identiteitsbeheer implementeren, is het cruciaal om de beveiliging van externe MFA-leveranciers te evalueren. Het gebruik van betrouwbare en goed gecontroleerde leveranciers kan helpen om de risico's van dergelijke aanvallen te minimaliseren.