👌 🔓 👨🏼‍🚀 Microsoft 365 किरायेदारों तक पहुँच प्राप्त करने के लिए Azure में मैलवेयर का उपयोग करना 👨🏻‍🔧 👩🏼‍🤝‍👨🏻 🖖🏿

फ़िशिंग किसी संगठन में घुसपैठ करने के सबसे सफल तरीकों में से एक है। हमने उपयोगकर्ताओं को संक्रमित अनुलग्नकों को खोलने या दुर्भावनापूर्ण साइटों से लिंक के अनुसरण में उत्पन्न होने वाले मैलवेयर संक्रमणों की एक बड़ी संख्या देखी है जो कमजोर ब्राउज़रों या प्लगइन्स से समझौता करने की कोशिश करते हैं।

अब जब संगठन इतनी तेज गति से Microsoft 365 पर जा रहे हैं, तो हम एक नया हमला वेक्टर - एज़्योर एप्लिकेशन देख रहे हैं ।

जैसा कि आप नीचे देखेंगे, साइबर क्रिमिनल अपने फ़िशिंग अभियानों में उपयोग के लिए दुर्भावनापूर्ण Azure अनुप्रयोगों को बना सकते हैं, मास्क कर सकते हैं और तैनात कर सकते हैं। Azure अनुप्रयोगों को Microsoft से अनुमोदन की आवश्यकता नहीं है और इससे भी महत्वपूर्ण बात यह है कि उन्हें उपयोगकर्ता के कंप्यूटर पर कोड निष्पादन की आवश्यकता नहीं है, जिससे वर्कस्टेशन पर डिटेक्शन टूल और एंटीवायरस प्रोग्राम को बायपास करना आसान हो जाता है।

हमलावर द्वारा दुर्भावनापूर्ण Azure एप्लिकेशन इंस्टॉल करने के लिए पीड़ित को आश्वस्त करने के बाद, वह यह पता लगा सकेगा कि पीड़ित किस संस्था का है, पीड़ित की फाइलों तक पहुंच सकता है, उसके ईमेल पढ़ सकता है, पीड़ित की ओर से ईमेल भेज सकता है (आंतरिक फ़िशिंग हमले के लिए महान) और सामान्य रूप से बहुत अधिक।

Azure ऐप्स क्या हैं?

Microsoft ने Azure अनुप्रयोग सेवा को उपयोगकर्ताओं को अपने क्लाउड-आधारित अनुप्रयोग बनाने के लिए सक्षम करने के लिए बनाया, जो Azure API और संसाधनों को कॉल और उपयोग कर सकते हैं। यह शक्तिशाली कस्टम प्रोग्राम बनाना आसान बनाता है जो Microsoft 365 पारिस्थितिकी तंत्र के साथ एकीकृत होता है।

Azure में सबसे आम API में से एक MS ग्राफ़ API है । यह एपीआई उपयोगकर्ता के पर्यावरण के साथ, उपयोगकर्ता: समूहों, वनड्राइव दस्तावेजों, एक्सचेंज ऑनलाइन मेलबॉक्‍स और चैट के साथ बातचीत करने की अनुमति देता है।

जिस तरह आपका iOS फोन आपसे पूछेगा कि क्या एप्लिकेशन को आपके कॉन्टैक्ट्स या लोकेशन तक पहुंचने की अनुमति दी जा सकती है, एज़्योर आपसे एप्लिकेशन को आवश्यक संसाधनों तक पहुंच देने के लिए कहेगा। जाहिर है, एक हमलावर इस अवसर का उपयोग धोखाधड़ी या एक से अधिक गोपनीय क्लाउड संसाधनों तक एप्लिकेशन पहुंच प्रदान करने के लिए कर सकता है।

कैसे होता है हमला

इस हमले को करने के लिए, हमलावर के पास स्वयं वेब एप्लिकेशन और इसे होस्ट करने के लिए एज़्योर किरायेदार होना चाहिए। स्टोर स्थापित करने के बाद, हम एज़्योर एप्लिकेशन को स्थापित करने के लिए लिंक का उपयोग करके फ़िशिंग अभियान शुरू कर सकते हैं:

ईमेल में लिंक उपयोगकर्ता को हमलावरों द्वारा नियंत्रित वेबसाइट (उदाहरण के लिए, myapp.malicious.com ) के लिए निर्देशित करता है, जो बदले में पीड़ित को Microsoft लॉगिन पृष्ठ पर रीडायरेक्ट करता है। । प्रमाणीकरण प्रक्रिया पूरी तरह से Microsoft द्वारा नियंत्रित की जाती है, इसलिए बहु-कारक प्रमाणीकरण का उपयोग करना समाधान नहीं है।

जैसे ही उपयोगकर्ता अपने O365 उदाहरण में प्रवेश करता है, दुर्भावनापूर्ण एप्लिकेशन के लिए एक टोकन बनाया जाएगा, और उपयोगकर्ता को लॉग इन करने और आवश्यक अनुमतियों के साथ एप्लिकेशन प्रदान करने के लिए कहा जाएगा। यहां अंत उपयोगकर्ता के लिए यह कैसा दिखता है (और यह बहुत परिचित दिखना चाहिए यदि उपयोगकर्ता ने पहले SharePoint या टीमों में एप्लिकेशन इंस्टॉल किया है):

यहां MS ग्राफ़ API अनुमतियाँ हैं जो हमारे आवेदन के कोड में हमलावर द्वारा अनुरोधित हैं:

जैसा कि आप देख सकते हैं, हमलावर एप्लिकेशन के नाम को नियंत्रित करता है ("MicrosoftOffice") ) और शॉर्टकट (हमने OneNote शॉर्टकट का उपयोग किया है)। URL एक मान्य Microsoft URL है, प्रमाणपत्र भी मान्य है।

हालांकि, हमलावर के किरायेदार का नाम और चेतावनी संदेश आवेदन नाम के तहत इंगित किया गया है, और न तो एक और न ही दूसरे को छिपाया जा सकता है। हमलावर की आशा यह है कि उपयोगकर्ता जल्दी में होगा, एक परिचित शॉर्टकट देखें और इस जानकारी को उपयोग की शर्तों के नोटिफिकेशन के रूप में जल्दी और विचारहीन रूप से छोड़ दें।

"स्वीकार करें" पर क्लिक करके, पीड़ित अपने खाते की ओर से हमारी आवेदन अनुमतियों को अनुदान देता है, अर्थात, आवेदन पीड़ित के ईमेल को पढ़ सकेगा और पीड़ित के पास पहुंच सकने वाली किसी भी फाइल तक पहुंच प्राप्त कर सकेगा।

यह कदम केवल पीड़ित की सहमति की आवश्यकता है, अब से हमलावर का उपयोगकर्ता खाते और संसाधनों पर पूरा नियंत्रण है ।

आवेदन पर सहमति देने के बाद, पीड़ित को हमारी पसंद की वेबसाइट पर भेज दिया जाएगा। फ़ाइलों की हाल की उपयोगकर्ता पहुंच की तुलना करना और उन्हें हाल ही में खोले गए आंतरिक SharePoint दस्तावेजों में से एक पर पुनर्निर्देशित करना कम से कम संदेह पैदा करने के लिए एक अच्छी चाल हो सकती है।

अवसर प्राप्त हुए

यह हमला निम्नलिखित गतिविधियों के लिए आदर्श है:

इंटेलिजेंस (उपयोगकर्ता किरायेदार में खातों, समूहों, वस्तुओं की सूची प्राप्त करना);
आंतरिक फ़िशिंग
फ़ाइल संसाधनों और ईमेल से डेटा की चोरी।

हमारे एज़्योर एप्लिकेशन की शक्ति का वर्णन करने के लिए, हमने संसाधनों को प्रदर्शित करने के लिए एक मज़ेदार कंसोल बनाया, जिसे हमने अपने PoC (अवधारणा के सबूत) परीक्षण के हिस्से के रूप में एक्सेस किया:

"Me" सेक्शन पीड़ित का विवरण दिखाता है:

"उपयोगकर्ता" अनुभाग हमें प्रत्येक के लिए उपरोक्त मेटाडेटा दिखाएगा। एक संगठन में एक व्यक्तिगत उपयोगकर्ता, जिसमें ईमेल पता, मोबाइल फोन नंबर, नौकरी का शीर्षक और बहुत कुछ शामिल है, जो संगठन की सक्रिय निर्देशिका की विशेषताओं पर निर्भर करता है। यह एपीआई कॉल अकेले व्यक्तिगत डेटा संरक्षण नीतियों का भारी उल्लंघन कर सकता है, खासकर जीडीपीआर और सीसीपीए के ढांचे के भीतर।

कैलेंडर अनुभागहमें पीड़ित के कैलेंडर की घटनाओं को दिखाता है। हम उसकी ओर से नियुक्तियों को भी निर्धारित कर सकते हैं, मौजूदा बैठकों को देख सकते हैं और भविष्य की बैठकों को भी हटा सकते हैं।

शायद हमारे कंसोल एप्लिकेशन में सबसे महत्वपूर्ण अनुभाग हाल का फ़ाइल्स कोड है , जो हमें किसी भी फ़ाइल को देखने की अनुमति देता है जिसे उपयोगकर्ता ने वनड्राइव या SharePoint में एक्सेस किया है। हम फ़ाइलों को अपलोड या संशोधित (दुर्भावनापूर्ण मैक्रो के साथ फ़ाइलें भी विकसित कर सकते हैं)।

महत्वपूर्ण: जब हम इस एपीआई के माध्यम से फ़ाइल का उपयोग करते हैं, तो Azure एक अद्वितीय लिंक बनाता है। यह लिंक कहीं से भी किसी के लिए भी सुलभ है, भले ही संगठन सामान्य 365 उपयोगकर्ताओं के लिए लिंक के अनाम विनिमय की अनुमति न दे।
एपीआई लिंक खास हैं। स्पष्ट रूप से कहें तो, हमें यकीन नहीं है कि लिंक एक्सचेंज के लिए संगठन की नीति द्वारा उन्हें अवरुद्ध क्यों नहीं किया गया है, शायद Microsoft मौजूदा उपयोगकर्ता अनुप्रयोगों को तोड़ना नहीं चाहता है यदि नीति में बदलाव होता है। एप्लिकेशन एक डाउनलोड लिंक या फ़ाइल को संशोधित करने के लिए एक लिंक का अनुरोध कर सकता है - हमारे पीओसी में हमने दोनों का अनुरोध किया।

"आउटलुक" अनुभाग हमें पीड़ित के ईमेल तक पूरी पहुंच प्रदान करता है। हम किसी भी संदेश के प्राप्तकर्ताओं को देख सकते हैं, उन्हें प्राथमिकता से फ़िल्टर कर सकते हैं, ईमेल भेज सकते हैं (आंतरिक फ़िशिंग) और बहुत कुछ।

पीड़ित के ईमेल को पढ़कर, हम उसके सर्कल के संचार और सबसे कमजोर संपर्कों की पहचान कर सकते हैं, हमारे पीड़ित की ओर से आंतरिक फ़िशिंग ईमेल भेज सकते हैं और इस प्रकार संगठन के भीतर एक हमले का विकास कर सकते हैं। हम पीड़ित व्यक्ति के ईमेल पते और संपर्कों का उपयोग उसके सर्कल से उन डेटा को फ़िल्टर करने के लिए कर सकते हैं जो हमें 365 में मिलते हैं।

इसके अलावा, Microsoft के पास एक एपीआई है जो पीड़ित के वर्तमान संचार सर्कल के बारे में जानकारी प्रदान करता है:

जैसा कि हमने ऊपर उल्लेख किया है, हम उपयोगकर्ता फ़ाइलों को संशोधित कर सकते हैं। प्रासंगिक अधिकारों के अधीन। लेकिन क्या होगा अगर हम फ़ाइलों को संशोधित करने के लिए एपीआई का उपयोग करते हैं?

एक विकल्प हमारे दुर्भावनापूर्ण Azure एप्लिकेशन को रैंसमवेयर प्रोग्राम में बदलना है जो दूरस्थ रूप से उन फ़ाइलों को एन्क्रिप्ट करता है जो पीड़ित के पास SharePoint और OneDrive पर संशोधित करने के लिए पहुँच है:

फिर भी, फ़ाइलों को एन्क्रिप्ट करने का यह तरीका विश्वसनीय नहीं है (चूंकि कुछ फ़ाइलों को अधिक सख्त बैकअप सेटिंग्स का उपयोग करके बहाल किया जा सकता है), लेकिन डिफ़ॉल्ट कॉन्फ़िगरेशन वाले किरायेदारों को स्थायी रूप से डेटा खोने का जोखिम होता है। दूसरी ओर, हम हमेशा गोपनीय डेटा निकाल सकते हैं और इसे प्रकाशित करने की धमकी दे सकते हैं, जब तक कि हमें फिरौती नहीं मिलती।

अन्य स्रोत:

केविन मिटनिक ने एक समान क्लाउड-आधारित एन्क्रिप्शन विधि शुरू की, जो मेलबॉक्सों पर लागू होती है;
क्रेब्स ऑन सिक्योरिटी ने भी अपने ब्लॉग पर इस तरह के हमले के बारे में एक अच्छी पोस्ट लिखी है।

समस्या की तात्कालिकता

इस फ़िशिंग तकनीक के बारे में जागरूकता आज अपेक्षाकृत कम है। बहुत से विशेषज्ञ नुकसान के संभावित स्तर को नहीं समझते हैं कि एक हमलावर संगठन में केवल एक कर्मचारी के कारण भड़क सकता है जो दुर्भावनापूर्ण Azure एप्लिकेशन तक पहुंच प्रदान करता है। Azure एप्लिकेशन के लिए सहमति देना किसी दुर्भावनापूर्ण .exe फ़ाइल को चलाने या मैक्रोज़ को किसी अज्ञात प्रेषक से दस्तावेज़ में सक्रिय होने की अनुमति देने से बहुत अलग नहीं है। लेकिन, चूंकि यह एक नया वेक्टर है, जिसे उपयोगकर्ता की मशीन पर कोड निष्पादित करने की आवश्यकता नहीं होती है, इसलिए इसका पता लगाना और ब्लॉक करना अधिक कठिन होता है।

सभी तृतीय-पक्ष अनुप्रयोगों को अक्षम करने के बारे में कैसे?

Microsoft अनुप्रयोगों को अनुमति देने के लिए उपयोगकर्ताओं पर प्रतिबंध लगाने की अनुशंसा नहीं करता है:
“आप अपने किरायेदार के लिए एकीकृत अनुप्रयोगों को अक्षम कर सकते हैं। यह एक कट्टरपंथी कदम है जो विश्व स्तर पर उपयोगकर्ताओं को किरायेदार के स्तर पर सहमति प्रदान करने की क्षमता से वंचित करता है। यह आपके उपयोगकर्ताओं को अनजाने में दुर्भावनापूर्ण एप्लिकेशन तक पहुंच प्रदान करने से रोकता है। यह एक मजबूत सिफारिश नहीं है, क्योंकि यह आपके उपयोगकर्ताओं की तृतीय-पक्ष अनुप्रयोगों के साथ काम करने की क्षमता को गंभीरता से लागू करता है। ”

मैं एज़्योर ऐप्स के दुरुपयोग का पता कैसे लगा सकता हूं?

गैरकानूनी अनुमतियों का पता लगाने का सबसे आसान तरीका है, एज़्योर एडी में एक्सेस इवेंट्स को ट्रैक करना और एज़्योर पोर्टल में अपने एंटरप्राइज एप्लिकेशन की नियमित समीक्षा करना।

हमेशा अपने आप से सवाल पूछें:

क्या मुझे यह ऐप पता है?
क्या यह उस संगठन से संबंधित है जिसे मैं जानता हूं?

Varonis ग्राहकों के लिए: DatAlert मॉड्यूल में ऐसे मॉडल हैं जो दुर्भावनापूर्ण अनुमतियों का पता लगाते हैं। अधिसूचना नियमों को साझा करने के लिए अपना खुद का एज़्योर ऐप बनाना भी संभव है।

दुर्भावनापूर्ण एप्लिकेशन कैसे निकालें?

Azure पोर्टल में, "Azure Active Directory" टैब के "एंटरप्राइज एप्लिकेशन" अनुभाग पर जाएं और एप्लिकेशन को अनइंस्टॉल करें। एक साधारण उपयोगकर्ता myapps.microsoft.com पर जाकर पहले दी गई अनुमतियों को हटा सकता है , वहाँ सूचीबद्ध अनुप्रयोगों की जाँच कर सकता है और आवश्यकतानुसार अनुमतियों को रद्द कर सकता है।

विस्तृत निर्देशों के लिए Microsoft के आधिकारिक दिशानिर्देश देखें ।

Microsoft 365 किरायेदारों तक पहुँच प्राप्त करने के लिए Azure में मैलवेयर का उपयोग करना