Microsoft365_devicePhish

Злоупотребление потоком авторизации OAuth Microsoft 365 для фишинговой атаки

Это простой proof-of-concept скрипт, который позволяет атакующему провести фишинговую атаку на поток авторизации OAuth Microsoft 365. С его помощью можно подключиться к конечным точкам OAuth API Microsoft, чтобы создать user_code и device_code и получить access_token жертвы после успешной фишинговой атаки. Затем токен можно использовать для доступа к различным продуктам Office365 через Microsoft Graph API от имени пользователя-жертвы. Кроме того, этот скрипт был создан для конкретной ситуации, когда целевая организация использовала Email OTP (одноразовый пароль) в качестве опции MFA; таким образом, при успешной фишинговой атаке можно было прочитать сгенерированный код Email OTP из почтового ящика жертвы, чтобы обойти MFA.

Более подробную информацию об этой фишинговой атаке и сценарии можно найти в следующей записи блога.

Использование

$ python3 devicePhish.py 
[INFO] Usage: python3 devicePhish.py <client_id>
[INFO] Example: python3 devicePhish.py fake-2ce0-4958-a61a-a5055ef62bf8

Пример

1. Генерация user_code и device_code из приложения Azure:

2. После успешной фишинговой атаки получение access_token и refresh_token для пользователя-жертвы:

3. После активации Email OTP чтение кода OTP из почтового ящика жертвы:

4. После чтения кода Email OTP он удаляет письмо с OTP:

Благодарности и ссылки

• Introducing a new phishing technique for compromising Office 365 accounts
• TokenTactics