Malware có thể lạm dụng khóa Windows Hello for Business để duy trì truy cập Entra ID
"Researchers demonstrated that malware running inside a signed-in Windows session can abuse Windows Hello for Business keys to silently authenticate to Microsoft Entra ID and obtain longer-term cloud access. The technique can be used to register attacker-controlled devices, request a Primary Refresh Token, and potentially add new authentication methods, but no CVE or Microsoft advisory was identified and the disclosure reports no active exploitation; mitigation focuses on monitoring for suspicious device registrations and empty device ID sign-ins."
Rủi ro duy trì truy cập trái phép vào Entra ID; có thể đăng ký thiết bị mới và xin PRT nếu phiên người dùng đã bị chiếm quyền.
Có thể ảnh hưởng đến tài khoản cloud doanh nghiệp và làm tăng nguy cơ truy cập kéo dài; cần thêm giám sát để tránh gián đoạn vận hành.
Các nhà nghiên cứu cho biết malware chạy trong một phiên Windows đã đăng nhập có thể âm thầm dùng Windows Hello for Business để xác thực vào Microsoft Entra ID và duy trì quyền truy cập đám mây lâu hơn.
Kỹ thuật này cho phép kẻ tấn công đăng ký thiết bị do mình kiểm soát, yêu cầu Primary Refresh Token (PRT) và, trong một số cấu hình, thêm phương thức xác thực mới. Trên hệ thống dùng TPM, khóa riêng không bị trích xuất, không cần lộ PIN hay kích hoạt sinh trắc học; thay vào đó, mã độc chỉ cần chạy trong phiên đăng nhập tương tác của nạn nhân để yêu cầu Windows ký dữ liệu xác thực.
Báo cáo không ghi nhận CVE hay Microsoft advisory liên quan, và cũng chưa thấy dấu hiệu khai thác thực tế. Tuy vậy, phát hiện này cho thấy giới hạn của cơ chế phishing-resistant authentication khi thiết bị đầu cuối đã bị xâm nhập.
Khuyến nghị kỹ thuật: theo dõi các device registration bất thường, rà soát các lần đăng nhập không có device ID, và kiểm tra chính sách Conditional Access cũng như trạng thái tuân thủ thiết bị để giảm khả năng duy trì truy cập.