微軟揭駭客利用裝置驗證碼網路釣魚手法竊取電子郵件

微軟最新調查發現，一個疑似與俄羅斯有關的駭客組織正在針對 Microsoft 365 帳戶發動裝置驗證碼網路釣魚攻擊。受害目標遍及歐洲、北美、非洲和中東地區的政府機構、非政府組織、資訊科技服務業、國防、電信、醫療衛生以及能源與石油天然氣等重要產業。

微軟威脅情報中心將此駭客組織命名為「Storm-237」。根據該組織的攻擊目標、受害者特徵和作案手法，研究人員認為這很可能是一個與俄羅斯國家利益相關的行動。

裝置驗證碼釣魚攻擊手法

攻擊者利用了原本設計用於智慧電視和物聯網等缺乏鍵盤或瀏覽器支援的裝置的認證機制。這類裝置通常需要使用者在另一台設備（如智慧型手機或電腦）上輸入授權碼來完成登入。

自去年八月以來，Storm-237 開始濫用這種認證流程。研究人員發現，攻擊者會先透過 WhatsApp、Signal 和 Microsoft Teams 等通訊平台與目標建立聯繫，假冒與目標相關的重要人物進行社交工程。

攻擊者會在建立初步關係後，透過電子郵件或即時通訊發送假冒的線上會議邀請。受害者收到的 Teams 會議邀請中會包含攻擊者生成的裝置驗證碼。當使用者依照提示完成驗證碼認證後，攻擊者就能取得受害者帳戶的存取權限，並透過 Graph API 收集資料，主要是竊取電子郵件內容。

進階持續性威脅: 新的存取權杖

微軟指出，攻擊者現在開始使用 Microsoft Authentication Broker 的特定客戶端 ID 來進行裝置驗證碼登入，這使他們能夠生成新的存取權杖。更嚴重的是，攻擊者可以利用這個客戶端 ID 在 Microsoft Entra ID（微軟的雲端身份與存取管理解決方案）中註冊裝置。

透過相同的重新整理權杖和新的裝置身份，Storm-237 能夠取得主要重新整理權杖（Primary Refresh Token, PRT），進而存取組織的各項資源。目前觀察到的主要行為是收集電子郵件內容。

防禦建議

微軟針對 Storm-237 的攻擊提出以下防禦建議。首要之務是盡可能封鎖裝置驗證碼流程，並在 Microsoft Entra ID 中實施條件式存取原則，限制只有受信任的裝置或網路才能使用此功能。

如果懷疑遭受裝置驗證碼釣魚攻擊，應立即使用 ‘revokeSignInSessions’ 撤銷使用者的重新整理權杖，並設定條件式存取原則，強制受影響的使用者重新進行身份驗證。

最後，組織應善用 Microsoft Entra ID 的登入記錄功能，監控並快速識別可疑的認證行為，包括短時間內大量的認證嘗試、來自未知 IP 位址的裝置驗證碼登入，以及向多個使用者發送的異常裝置驗證碼認證提示。

企業資安人員應特別注意這種新興的釣魚攻擊手法，並確實執行相關防護措施，以確保組織資產的安全。