Máy chủ cấu hình sai lộ 3 chiến dịch phishing Evilginx nhắm Microsoft 365
"A misconfigured public server exposed the tooling and logs of three Microsoft 365 phishing operations built on custom Evilginx forks, allowing researchers to trace the campaigns and their operators. Two campaigns used adversary-in-the-middle session theft, while a third abused Microsoft OAuth device code flow to capture tokens and bypass MFA protections; the article recommends phishing-resistant MFA, Conditional Access, and blocking device code flow where possible."
Nguy cơ cao do Evilginx AiTM có thể đánh cắp phiên và do device code flow cho phép thu token dù nạn nhân hoàn tất MFA trên trang Microsoft thật; tác động chính nằm ở chiếm quyền phiên và duy trì truy cập qua token refresh.
Tác động vận hành đáng kể vì nhắm vào mailbox doanh nghiệp và có thể kéo dài thời gian chiếm đoạt phiên; cần ưu tiên rà soát đăng nhập bất thường và kiểm soát truy cập để giảm gián đoạn và rủi ro rò rỉ dữ liệu.
Một máy chủ công khai bị cấu hình sai đã vô tình lộ bộ công cụ và nhật ký của ba chiến dịch phishing nhắm Microsoft 365, dựa trên các nhánh tùy biến của Evilginx. Theo điều tra của Lexfo, kẻ tấn công để một Python web server chạy với directory listing bật và lệnh khởi chạy còn trong .bash_history, giúp nhóm nghiên cứu truy vết toàn bộ chuỗi hoạt động.
Ba chiến dịch khác nhau về cách vượt MFA. Hai chiến dịch dùng mô hình adversary-in-the-middle (AiTM) để đánh cắp phiên đăng nhập trực tiếp. Chiến dịch còn lại lạm dụng Microsoft OAuth device code flow: nạn nhân nhập device code trên trang Microsoft thật, hoàn tất MFA tại hạ tầng chính thống, trong khi hệ thống của kẻ tấn công poll token endpoint để lấy token và duy trì phiên.
Bài viết khuyến nghị áp dụng phishing-resistant MFA, siết Conditional Access (đặc biệt chặn device code flow nơi không cần thiết), bật Continuous Access Evaluation để token bị đánh giá lại khi truy cập bất thường, đồng thời theo dõi refresh-token grants trong Entra sign-in logs và rà soát dấu vết RMM/tác nhân cài đặt từ máy chủ tấn công.