Consentfix: od fałszywej captchy do przejęcia konta

1. Czym jest atak ConsentFix?

ConsentFix to atak phishingowy, który wykorzystuje mechanizmy OAuth w nieoczywisty sposób – nie poprzez omijanie zabezpieczeń, lecz poprzez przekonanie użytkownika, aby sam przekazał atakującemu kod autoryzacyjny. W dotychczas udokumentowanych przypadkach atak opierał się na podszywaniu pod stronę weryfikującą typu CAPTCHA.

Jak wygląda scenariusz ataku?

Użytkownik proszony jest o podanie służbowego e maila „w celu weryfikacji”, a następnie o kliknięcie przycisku „Sign in”, który otwiera rzeczywistą stronę logowania Microsoft. Jeśli użytkownik jest już zalogowany, wybiera po prostu swoje konto, bez konieczności wpisywania danych. Po zalogowaniu przeglądarka próbuje otworzyć techniczny adres zwrotny, który w normalnych warunkach zazwyczaj obsługiwałaby aplikacja działająca lokalnie. Ponieważ taka aplikacja w tym przypadku nie jest uruchomiona, adres okazuje się niedostępny – użytkownik widzi więc zwykły komunikat o błędzie. W tym momencie strona atakującego wyświetla instrukcję, by skopiować całą zawartość paska adresu (często zaczynającą się od http://localhost) i wkleić ją w pole „weryfikacyjne”. To właśnie ten adres zawiera kod autoryzacyjny OAuth, który umożliwia atakującemu uzyskanie dostępu do konta.
Jest to jeden z najpopularniejszych scenariuszy, na które ofiary trafiają najczęściej poprzez wyszukiwarkę (np. Google). Atakujący wykorzystują w tym celu pozornie wiarygodne strony o wysokiej reputacji, które zostały uprzednio zainfekowane. Możliwe są również prostsze formy ataku – np. bezpośrednie wysłanie linku do logowania Microsoft i wyłudzenie kodu autoryzacyjnego przy użyciu socjotechniki.

Jak nie dać się oszukać?

Jeśli strona prosi o niestandardowe czynności, takie jak kopiowanie lub przeciąganie adresów, wklejanie danych z paska przeglądarki lub wykonywanie poleceń w systemie – przerwij i zgłoś to do działu bezpieczeństwa.
CAPTCHA nie wymaga podawania maila ani wykonywania podejrzanych akcji, takich jak wklejanie poleceń systemowych (ClickFix) czy przeklejanie zawartości paska adresu (ConsentFix).

W jaki sposób działa atak ConsentFix?

Atak wykorzystuje OAuth 2.0 Authorization Code Flow dla aplikacji typu public client. W tym modelu aplikacja nie posiada sekretu klienckiego, więc sam kod autoryzacyjny jest wystarczający do uzyskania tokenu. Atakujący generuje link do logowania dla jednej z zaufanych aplikacji Microsoft z prawidłowym adresem zwrotnym (redirect URI) wskazującym na localhost lub wewnętrzną domenę Microsoft, której nie da się rozwiązać przez publiczne DNS. Po uwierzytelnieniu się ofiary kod autoryzacyjny trafia do przeglądarki. Następnie fałszywa strona wymusza na użytkowniku przekazanie tego kodu atakującemu.

Na co zwracać uwagę w logach?

W przypadku wystąpienia ataku ConsentFix w logach pojawią się dwa powiązane wydarzenia logowania:

• Logowanie interaktywne – wykonane przez ofiarę z jej rzeczywistego urządzenia i lokalizacji. To pierwszy etap;
• Logowanie nieinteraktywne – pojawia się, gdy atakujący wymienia kod autoryzacyjny na token. Ma na to obecnie do 2 minut od logowania interaktywnego.

Oba zdarzenia dzielą to samo ApplicationId, SessionId oraz UserId.

Dla kogo to ważne?

Temat ten jest szczególnie istotny dla:

• Administratorów IT,
• zespołów SOC (Centrum Operacji Bezpieczeństwa)
• oraz osób, które chcą lepiej zrozumieć nowe techniki phishingu.

Jak zabezpieczyć swoją organizację?

Niestety, nie jest łatwo uchronić się przed atakiem ConsentFix wyłącznie przy pomocy konfiguracji. Dlatego poza monitorowaniem logów po stronie Entra ID zalecana jest regularna edukacja i sprawdzanie wiedzy pracowników w obszarze najnowszych zagrożeń. Jednym z możliwych sposobów na ograniczenie powierzchni ataku jest bezpośrednie przypisanie użytkowników w Entra ID do aplikacji najbardziej narażonych na atak, jednak często wymaga to sporego nakładu pracy, a jednocześnie nie eliminuje całkowicie możliwości przeprowadzenia phishingu typu ConsentFix.

Listę podatnych aplikacji można znaleźć na stronie entra scopes.

Warto pamiętać, że choć atak ten różni się od klasycznego phishingu, nadal opiera się on na działaniu wykonanym przez użytkownika – w tym przypadku na przekazaniu zawartości paska adresu z kodem autoryzacyjnym.

Źródła:

1. ConsentFix: Browser-native ClickFix hijacks OAuth grants
2. ConsentFix: How a New OAuth Attack Bypasses Microsoft Entra Conditional Access | glueckkanja

Partner technologiczny: