¿El peligro en la autenticación de Microsoft?

Este ataque masivo contra la identidad en la nube de Microsoft tuvo como objetivo las cuentas de Microsoft 365 y Entra ID mediante una combinación de ataques de fuerza bruta contra contraseñas, relleno de credenciales y abuso de autenticación basada en tokens. En lugar de atacar repetidamente una sola cuenta, los atacantes probaron un pequeño conjunto de credenciales probablemente válidas en múltiples cuentas y organizaciones, lo que les permitió eludir los controles de bloqueo de cuentas e identificar contraseñas débiles, reutilizadas o previamente comprometidas.

Un aspecto clave de la campaña fue el abuso de los mecanismos legítimos de autenticación de Microsoft, incluidos Azure CLI y los flujos de autenticación OAuth. Aprovechando estas herramientas de confianza, los atacantes podían obtener tokens de acceso sin activar todos los controles de seguridad tradicionales, especialmente en entornos donde las políticas de autenticación multifactor (MFA) o de acceso condicional no se aplicaban de forma sistemática.

Una vez obtenidos los tokens de acceso, los atacantes podían acceder a recursos en la nube como Exchange Online, SharePoint, OneDrive, Teams y otros servicios de Microsoft. Dado que la actividad dependía de credenciales válidas y sesiones autenticadas, a menudo parecía legítima, lo que dificultaba su detección y aumentaba el riesgo de robo de datos, fraude por correo electrónico (BEC), phishing y otras vulnerabilidades del entorno.

¿Por qué es digno de mención?

Esta campaña nos recuerda que la autenticación multifactor (MFA) por sí sola no siempre es suficiente. Si bien muchas organizaciones afectadas tenían la MFA habilitada, los atacantes pudieron explotar rutas de autenticación que no estaban totalmente protegidas por las políticas de acceso condicional. Como resultado, pueden persistir vulnerabilidades incluso cuando las organizaciones creen tener una seguridad de identidad integral.

La magnitud de la actividad fue significativa: los investigadores observaron más de 81 millones de intentos de inicio de sesión en un período de dos semanas. En lugar de recurrir a malware o a la vulneración de los sistemas, los atacantes aprovecharon las credenciales robadas, los flujos de autenticación basados en tokens y las vulnerabilidades en las políticas de seguridad para obtener acceso.

Para los equipos de seguridad, esto representa un desafío cada vez mayor. Los ataques de suplantación de identidad contra los entornos de Microsoft 365 y Entra ID siguen aumentando en escala y sofisticación, y dado que los atacantes utilizan credenciales válidas y aplicaciones legítimas, la actividad maliciosa a menudo puede parecer indistinguible de la autenticación normal del usuario.

¿Cuál es la exposición o el riesgo?

Las organizaciones que utilizan Microsoft 365, Entra ID, Azure CLI o flujos de trabajo integrados con Azure se enfrentan a un mayor riesgo. Este riesgo aumenta cuando existen contraseñas débiles, credenciales reutilizadas, una aplicación incompleta de la autenticación multifactor (MFA), políticas de acceso condicional permisivas o autenticación ROPC sin bloquear.

Una intrusión exitosa puede permitir a los atacantes:

• Obtenga tokens de acceso válidos
• Acceso al correo electrónico y a los datos en la nube.
• Enumerar usuarios y recursos
• Realizar fraudes de correo electrónico empresarial (BEC)
• Establecer la persistencia
• Abuso de aplicaciones en la nube

Muévase lateralmente a otros recursos de SaaS o Azure.

Dado que los atacantes utilizan credenciales y tokens válidos, su actividad puede eludir los controles tradicionales de los puntos finales. En muchos casos, la detección requiere visibilidad de los registros de identidad, inicio de sesión y auditoría.

• Aplicar la autenticación Multifactor de forma amplia y coherente.
• Exigir la autenticación multifactor (MFA) para todos los usuarios, no solo para los administradores.
• Aplique las políticas de autenticación multifactor a todas las aplicaciones en la nube.
• Incluir métodos de autenticación heredados y no interactivos.
• Bloquear o restringir la autenticación ROPC y heredada
• Desactive la autenticación heredada siempre que sea posible.
• Bloquea los flujos ROPC de OAuth que no admitan la autenticación Multifactor interactiva.

El futuro de la seguridad comienza antes de ser atacado

• Limite el acceso a la CLI de Azure a los usuarios que lo requieran por motivos laborales.
• Restringir el acceso a la CLI de Azure a los usuarios que no sean administradores siempre que sea posible.
• Supervise los inicios de sesión en la CLI de Azure de los usuarios que normalmente no utilizan herramientas de desarrollo o administración.
• Revisar la cobertura de acceso condicional
• Identificar las lagunas en las que la autenticación Multifactor (MFA) se aplica solo a aplicaciones, ubicaciones o grupos de usuarios específicos.
• Evite confiar únicamente en lugares de confianza.
• Asegúrese de que las políticas se apliquen activamente y no se ejecuten en modo de solo informe.
• Búsqueda de indicadores de compromiso
• Revise los registros de inicio de sesión de Entra ID para detectar la actividad de la CLI de Azure.
• Busque inicios de sesión exitosos después de un gran volumen de intentos fallidos.
• Investigar los inicios de sesión no interactivos y los eventos de emisión de tokens.
• Supervise el tráfico asociado con 2a0a:d683::/32, AS32167 y la infraestructura LSHIY relacionada.
• Revisar los inicios de sesión desde ubicaciones geográficas inusuales, nuevas direcciones IPv6 o eventos de viaje imposibles.
• Restablecer credenciales expuestas
• Restablecer la contraseña de forma forzada para las cuentas que muestren actividad sospechosa.
• Priorice a los usuarios cuyas credenciales puedan aparecer en conjuntos de datos de filtraciones de datos.
• Revocar las sesiones activas y actualizar los tokens para las cuentas que se sospechen comprometidas.
• Mejorar la higiene de contraseñas e identidad
• Implemente políticas de contraseñas estrictas y listas de contraseñas prohibidas.
• Supervise si hay credenciales reutilizadas o comprometidas.
• Fomente el uso de métodos de autenticación Multifactor (MFA) resistentes al phishing, como las claves de seguridad FIDO2, Windows Hello para empresas o la autenticación basada en certificados.
• Priorizar los indicadores de compromiso confirmados
• Un volumen de pulverización elevado por sí solo no siempre indica un problema.
• Priorice las cuentas con eventos de autenticación exitosos, emisión de tokens, actividad de sesión sospechosa o uso inusual de la CLI de Azure.