Abuso di OAuth

5 maggio 2025

Il team Mimecast Threat Research continua a rilevare e-mail contenenti URL che manipolano i parametri OAuth di Microsoft per reindirizzare gli utenti verso pagine dannose. La campagna ha generato circa 4.500 casi rilevati in un periodo di due settimane, prendendo di mira principalmente aziende del settore immobiliare e dei servizi professionali negli Stati Uniti. Questo approccio metodico sembra concentrarsi sulla raccolta di informazioni aziendali e sul furto di credenziali, pur mantenendo un aspetto ingannevolmente legittimo. La tecnica sfrutta la manipolazione degli URL per sfruttare l’implementazione OAuth di Microsoft. Utilizzando domini Microsoft legittimi lungo tutta la catena di attacco, gli autori delle minacce hanno creato un approccio di ingegneria sociale altamente convincente, in grado potenzialmente di aggirare i controlli di sicurezza tradizionali.

In queste campagne, agli utenti presi di mira vengono inizialmente presentate esche contenenti URL che sfruttano domini di autenticazione Microsoft legittimi. Dopo aver cliccato sul link e completato il processo di autenticazione standard, agli utenti viene presentata una richiesta di autorizzazione apparentemente innocua che consente la raccolta di dati di base. Sebbene rapporti open-source abbiano già segnalato in precedenza che alcune app dannose richiedono un accesso più ampio agli account degli utenti, la nostra ricerca ha finora osservato che questa tecnica viene utilizzata principalmente per richiedere informazioni di base sugli utenti, quali indirizzi e-mail, qualifiche professionali e immagini del profilo. Le campagne più recenti hanno ulteriormente occultato l’attacco incorporando gli URL di reindirizzamento all’interno di parametri codificati, rendendo il rilevamento significativamente più difficile sia per gli utenti che per le soluzioni di sicurezza.

Da questa attività si possono trarre due conclusioni chiave: in primo luogo, gli autori delle minacce potrebbero raccogliere dati di base sugli utenti — quali nomi completi, qualifiche professionali e immagini del profilo — per convalidare gli account e-mail da utilizzare in attacchi successivi. In alternativa, la richiesta di autorizzazioni di base potrebbe essere una tattica per evitare di destare sospetti, con l’obiettivo finale di reindirizzare gli utenti verso pagine di raccolta delle credenziali. Indipendentemente dal fatto che un utente accetti o rifiuti la richiesta di autorizzazione, viene comunque reindirizzato all’URL specificato dall’applicazione dannosa.

Analisi tecnica

In genere, la struttura degli URL che abbiamo osservato in queste campagne segue lo schema riportato di seguito.

https://login.microsoftonline.com/common/reprocess?ctx=rQQIARAA02I20jOwUjE3MTFJM0ky1TU0TEvSNTFONNK1SDJK1jUzMjSxMAUCC4PkIiEugcTgtV7WT-pcZpwUj7mt7ye_ilEpo6SkoNhKX78gJzEvsbQkIzknMzWvRC8lVT8lozgjJTXVZAcj4wVGxlVMbMYGBibGBreY-P0dgQqNQER-UWZV6icmjrSixPRcoL5ZzBwWRpbmRpZGhpuY2ZLzc3Pz83YxqxgYGBomJRlZ6poamBvpGlgkm-omJqda6KYam1kmG5mZmxkZmZ1iFskvSM3LTFFIzU3MzFEoKMpPy8xJvcHMeIGF8RULjwGrFQcHlwC_BLsCww8WxkWsQP8kKS969XB5t8PUG------

/common - Si riferisce all’endpoint condiviso del tenant (/common/) nel sistema di accesso di Microsoft, il che significa che la richiesta non è legata a un’organizzazione specifica: potrebbe riguardare qualsiasi utente (privato o aziendale) .

/reprocess - Normalmente, Microsoft utilizzerebbe /reprocess per riprovare o riprendere un accesso non riuscito o un flusso

di autenticazione interrotto CTX – Si tratta di un oggetto di contesto che contiene informazioni quali sessione, tenant, URL di reindirizzamento e stato di autenticazione, necessarie a Microsoft durante le transazioni OAuth. Questa codifica viene generata da Microsoft solitamente quando una sessione di accesso viene interrotta o fallisce.

Generazione dell’URL

• L’autore dell’attacco registra un’applicazione in Azure AD e specifica un link di reindirizzamento dannoso da utilizzare nella propria campagna.
• Genera un URL OAuth, che include il link di reindirizzamento e parametri come response_type, per attivare una richiesta di consenso che chiede l’accesso all’account dell’utente quando viene cliccato. Nota: è possibile utilizzare altre opzioni di response_type che non mostrano le pagine di consenso e reindirizzano silenziosamente l’utente alla pagina dannosa.
• Utilizzando questo URL, tentano di effettuare l’accesso essi stessi e interrompono o manipolano la sessione per generare una stringa ctx, che include l’URL di reindirizzamento codificato e i dettagli della sessione prodotti da Microsoft.
• Successivamente creano un URL di phishing definitivo, inserendo il valore ctx acquisito in un endpoint /common/reprocess, che avvierà un flusso di accesso per qualsiasi utente in qualsiasi tenant. Abbiamo osservato che il valore ctx generato tende ad essere utilizzato su molti obiettivi.

Protezione Mimecast

Abbiamo identificato diversi attributi nelle recenti campagne che sono stati aggiunti alle nostre capacità di rilevamento. Continuiamo a monitorare eventuali cambiamenti nelle tecniche utilizzate con i link OAuth.

Obiettivi:

Prevalentemente Stati Uniti, settore immobiliare, servizi professionali

Raccomandazioni

• Valutare i requisiti delle applicazioni esterne
  • Effettuare revisioni approfondite dei consensi relativi alle applicazioni di terze parti esistenti in tutta l’organizzazione
  • È necessario abilitare la registrazione avanzata delle richieste OAuth per facilitare il rilevamento tempestivo di attività sospette.
• Formazione sulla sicurezza per gli utenti
  • Gli utenti dovrebbero esaminare attentamente le richieste di accesso Microsoft che prevedono l'assegnazione di autorizzazioni.
  • Condurre simulazioni periodiche di phishing che includano scenari relativi alle autorizzazioni Microsoft
• Ricerca proattiva delle minacce
  • Cercare nei log di URL Protect utilizzando filtri specifici per il parametro reprocess?ctx=, poiché questo rappresenta un indicatore chiave di compromissione.