Chiến dịch password spray nhắm Azure CLI, lạm dụng OAuth ROPC để vượt Conditional Access/MFA
"Researchers reported a large-scale password spray campaign targeting Azure CLI logins, with more than 81 million attempts between June 12 and June 26, 2026. The attack compromised at least 78 Microsoft accounts across 64 organizations and was able to bypass some Conditional Access and MFA protections by abusing the deprecated OAuth Resource Owner Password Credentials (ROPC) flow; recommended mitigations include enforcing MFA for all users, all cloud apps, and all client app types, and restricting Azure CLI access for non-admin users."
Tác động đáng kể do password spray kết hợp với lạm dụng ROPC có thể làm vượt một phần CAP/MFA nếu cấu hình không bao phủ đúng luồng ủy quyền. Điểm then chốt: ROPC không đi qua authorization endpoint nơi CAP được thực thi, dẫn tới lỗ hổng cấu hình trong chính sách truy cập.
Rủi ro vận hành gồm khả năng bị truy cập trái phép vào tài nguyên đám mây và gián đoạn do phải điều tra/thu hồi phiên. Điểm then chốt: tác động trên nhiều tổ chức (64) và tần suất thử đăng nhập rất cao, làm tăng chi phí phản ứng sự cố và quản trị danh tính.
Các nhà nghiên cứu cảnh báo một chiến dịch password spray quy mô lớn, nhắm vào đăng nhập qua Azure CLI. Theo báo cáo của Huntress, hoạt động diễn ra từ 12/6 đến 26/6/2026, với hơn 81 triệu lần thử đăng nhập và dẫn tới việc chiếm được ít nhất 78 tài khoản Microsoft trên 64 tổ chức.
Điểm đáng chú ý là nhiều nạn nhân đã bật Conditional Access Policy (CAP). Nhóm tấn công được cho là đã lợi dụng một luồng OAuth đã bị deprecated là Resource Owner Password Credentials (ROPC). Đây là cơ chế cấp quyền cũ, trong đó người dùng cung cấp trực tiếp username/password cho ứng dụng, ứng dụng đổi lấy token tại máy chủ ủy quyền. Vì ROPC không đi qua endpoint nơi CAP được áp dụng, một số cấu hình CAP/MFA có thể không bao phủ đúng các yêu cầu liên quan đến Azure CLI.
Ngoài ra, báo cáo ghi nhận tần suất đăng nhập thành công theo ngày (trung bình vài tài khoản/ngày, có đợt tăng vào 22/6). Nguồn lưu lượng chủ yếu xuất phát từ dải IPv6 do LSHIY LLC (AS32167) quản lý.
Khuyến nghị: bắt buộc MFA cho “All Users”, “All Cloud Apps” và “All Client App types”, giới hạn Azure CLI cho người không phải quản trị viên, và ưu tiên kiểm tra/khóa các phiên đăng nhập dựa trên tính hợp lệ của thông tin đăng nhập.