Uusi aalto M365-tietojenkalastelussa - AI‑avusteinen laitekoodin kalastelukampanja

Mikä on device code ‑todennus?

Laitekooditodennus (Device Code Authentication) on standardoitu kirjautumismekanismi, jota käytetään erityisesti laitteissa tai sovelluksissa, joissa tunnusten syöttäminen suoraan on hankalaa. Käyttäjä saa koodin, jonka hän syöttää erillisellä kirjautumissivulla, minkä jälkeen kirjautuminen vahvistetaan.

Laitekooditodennus eroaa perinteisestä kertakäyttökoodista (OTP) siinä, että se todentaa käyttäjän sijasta laitteen. Kun järjestelmä on kerran tunnistanut ja hyväksynyt tietyn laitteen, se luottaa siihen, että kaikki kyseiseltä laitteelta tuleva liikenne on lähtöisin oikealta käyttäjältä. Kyseessä on siis epäsuora käyttäjän todennus: järjestelmä luottaa käyttäjään, koska se luottaa käytettyyn laitteeseen.

Laitekooditodennusmenetelmän hyödyntäminen voi siis antaa hyökkääjälle pääsyn järjestelmään ilman vaatimusta salasanasta tai monivaiheisesta tunnistautumista. Tietoturvayhtiöiden mukaan laitekooditodennushyökkäysten määrä on kasvanut nopeasti vuoden 2026 aikana. Osa kampanjoista on kohdistunut erityisesti Microsoft 365 -ympäristöihin, koska laitekoodikirjautuminen on oletuksena käytössä monissa organisaatioissa.

Hyökkääjän toimintatapa ja tavoitteet

Hyökkääjät houkuttelevat kohteita kirjautumaan palveluihin käyttämällä laitekooditunnistautumista. Käyttäjää ohjataan syöttämään hyökkääjän tarjoama koodi viralliselle kirjautumissivulle, jolloin hyökkääjä saa pääsyn käyttäjän tiliin ilman, että salasanaa vaaditaan.

Tässä hyökkäystavassa tietojenkalastelu alkaa sähköpostiviestillä tai kalenterikutsulla, joka sisältää linkin verkkosivustolle. Rikollisten hallussa olevalla sivustolla voi olla esimerkiksi DocuSign- tai SharePoint-logoilla varustettu PDF-tiedosto, joka näyttää olevan jaettu uhrille. Hyökkääjän ohjeiden mukaan dokumentin saa avattua kopioimalla sivulla näkyvän koodin. Uhri kopioi tämän laitekoodin ja liittää sen aidolle Microsoftin kirjautumissivulle, joka pyytää laitekoodia.

Kun koodi on syötetty, uhri kirjautuu käyttäjätunnuksellaan, salasanallaan ja monivaiheisella tunnistautumisella (MFA) Microsoft 365 -palveluun. Tämän seurauksena hyökkääjän laite rekisteröidään uhrin tilille ja se saa uhrin käyttöoikeudet. Hyökkääjä saavuttaa näin pysyvän pääsyn uhrin Microsoft 365 -tilille ilman salasanaa, koska hyökkääjän laitteelle luodaan oma, voimassa oleva istunto.

Hyökkäysten tavoitteena on päästä käsiksi uhrin käytössä oleviin pilvipalveluihin, sähköposteihin ja muihin kriittisiin järjestelmiin. Onnistunut kirjautuminen voi mahdollistaa liikkumisen myös organisaation järjestelmien sisällä sekä lisähyökkäysten toteuttamisen. Koska hyökkäys ei edellytä salasanojen murtamista, vaan perustuu kirjautumisprosessin väärinkäyttöön, on sitä vaikeampi havaita perinteisillä suojausmenetelmillä.

Tekoälyn rooli

Microsoftin raportin mukaan tekoälyllä on merkittävä rooli kampanjan laajuudessa ja tehokkuudessa. Sen avulla hyökkääjät automatisoivat viestien luontia, analysoivat kohteita ja muokkaavat lähestymistapaa. Tämä mahdollistaa perinteisiä kalastelukampanjoita laajemman ja kohdennetumman hyökkäystoiminnan. Microsoftin mukaan kyse ei kuitenkaan ole täysin autonomisista hyökkäyksistä, vaan tekoäly toimii ihmisten tukena automatisoiden esimerkiksi viestien kirjoittamista ja hyökkäysten hallintaa.

Kalasteluviestejä luodaan kohdennetusti eri organisaatioille ja käyttäjärooleille, mikä lisää onnistumisen todennäköisyyttä. Viesteissä vedotaan esimerkiksi salasanan vanhenemiseen, dokumenttien tarkastamiseen tai sähköisiin allekirjoituksiin. Viestit jäljittelevät usein luotettavia tahoja, kuten IT-tukea tai yhteistyökumppaneita.

Laitekoodien kalastelu on yleistynyt huomattavasti, koska hyökkäyksiä toteutetaan valmiina palveluina ostettavien Phishing-as-a-Service (PhaaS) -alustojen, kuten Tycoon 2FA:n tai EvilTokens palveluiden kautta. PhaaS-palveluissa tekoälyä käytetään luomaan kielellisesti virheettömiä ja tarkasti kohdennettuja huijausviestejä automatisoimalla uhrin taustatietojen etsintä sosiaalisesta mediasta. Lisäksi tekoäly muuntelee viestien tekstiä ja koodia reaaliajassa, mikä auttaa niitä kiertämään perinteiset roskapostisuodattimet ja tietoturvajärjestelmät.

Tycoon2FA:n ylläpitäjät luovat tekoälyllä vakuuttavia kalastelusivustoja omille verkkotunnuksilleen, ja suojaavat niitä estämällä pääsyn tiettyjen maantieteellisten alueiden ulkopuolelta (geo-fencing). Palvelun asiakkaat puolestaan hyödyntävät kaapattuja laillisia verkkotunnuksia ja hosting-palveluita ohjatakseen uhrit eteenpäin tähän kalasteluinfrastruktuuriin.

EvilTokens hyödyntää tekoälyä sähköpostisuodattimien ohittamisessa, kalasteluhyökkäysten räätälöinnissä sekä tuottoisimpien maalien tunnistamisessa. EvilTokensin tekoälypohjainen analyysiprosessi kerää Microsoft Graph API:m kautta tietoja, joita suodatetaan, jäsennetään ja yhdistetään tiedusteluraportiksi.
 

Mitä organisaatiot voivat tehdä?

Laitekoodin kalastelun kautta tapahtuvat tietomurrot voidaan estää tehokkaasti vain tiukentamalla ehdollisia pääsynhallintapolitiikkoja. Tällaista kalastelua on erittäin vaikea havaita, eikä Microsoftin tuotteet tee hälytystä epäilyttävästä laitteesta, koska uhri hyväksyy laitteen itse omalle tunnukselleen ja laitteen lisäämistä laite koodin avulla ei ole estetty. Suojautuminen vaatiikin ehdollisten sääntöjen tiukentamisen lisäksi kirjautumisten jatkuvaa seurantaa. Lisäksi tarvitaan kohdennettu käyttäjäkoulutus. On myös hyvä varmistaa, että monivaiheinen tunnistautuminen on otettu organisaatiossasi käyttöön. Jos näin ei ole, niin laadi suunnitelma ja aikataulu käyttöönotolle. Monivaiheinen tunnistautuminen on perusta monelle muulle suojaustoimelle.

Etsi organisaatiosi tietomurrot tällä hakukyselyllä

Laitekoodin kirjautumisissa Advanced Hunting -tauluissa OSPlatform jää tyhjäksi, mutta jos kirjautuminen vahvistetaan luotetulla laitteella, DeviceTrustType ja Devicename -kenttiin kirjataan uhrin käyttämän koneen tiedot. Alla oleva haku etsii ristiriitaisilla laitteen tunnistustiedoilla tapahtuneita kirjautumisia, joiden SessionId korreloidaan takaisin IP-osoiteihin ja laitenimiin.

Mikäli ympäristön laitehallinta on hyvässä kunnossa, haku ei palauta muita rivejä kuin Device Code -perusteisesti onnistuneista kirjautumisista, jotka voi ristiin vertailla IP-osoitteiden pohjalta potentiaalisen uhrin muuhun kirjautumishistoriaan peilaten. Tunnettuja FP/BTP-tilanteita:

• Azure CLI:n käyttö, joka oletusarvoisesti ohjaa käyttämään laitekooditodennusta - tunnistettavissa käyttäjän normaalin IP-historian ja työroolin perusteella
• Mac-laitteiden hallintaan liittyvät ongelmat, jos laitteet eivät näy kattavasti hallittuina - tunnistettavissa käytettyjen laitteiden ja IP-tietojen perusteella

let susIds = EntraIdSignInEvents
| where Timestamp >= ago(30d) | where isempty(OSPlatform) | where isnotempty(DeviceTrustType) | where isnotempty(SessionId) | distinct SessionId;
EntraIdSignInEvents
| where Timestamp >= ago(30d) | where SessionId in (susIds)
| where IsManaged == 0 // filter out managed devices
| summarize InitialLogon = arg_min(Timestamp, AccountUpn, Country, DeviceName, IsManaged, UserAgent, OSPlatform, Application, SessionId) by IPAddress
| project InitialLogon, IPAddress, AccountUpn, Country, DeviceName, IsManaged, UserAgent, OSPlatform, Application, SessionId

 

Yllä olevalla haulla voitte hakea Defender XDR kautta epäilyttäviä laitteiden liitoksia organisaationnne Microsoft ympäristöön.

Kyberturvallisuuskeskus kiittää Elisa Oy:tä yhteistyöstä tämän artikkelin taustoituksessa.