Les cybercriminels exploitent le système OAuth pour pirater les comptes utilisateurs et alimenter la cybercriminalité

Dans un récent avertissement, l'équipe de sécurité de Microsoft a mis en lumière une tendance préoccupante dans le monde de la cybercriminalité.

Les criminels exploitent de plus en plus le système OAuth, couramment utilisé par les sites web pour vérifier l'identité des utilisateurs, obtenir un accès non autorisé aux systèmes et lancer diverses formes de cyberattaques, y compris le minage illicite de cryptomonnaies. 

L'exploitation des applications OAuth par les cybercriminels présente un défi multifacette pour les organisations. Les attaquants initient leurs campagnes en compromettant les comptes utilisateurs, souvent par le biais d'attaques de phishing ou de force brute sur les mots de passe. 

Leurs cibles principales sont les comptes dépourvus de mécanismes d'authentification robustes, les rendant vulnérables aux attaques par devinement d'identifiants. Une fois ces comptes compromis, les cybercriminels prennent pied dans le système.

L'une des activités néfastes qui s'ensuivent est le déploiement de machines virtuelles (VM) pour le minage de cryptomonnaies. Cela non seulement draine les ressources informatiques, mais peut également avoir un impact significatif sur la consommation d'énergie et les performances globales d'une organisation. 

En plus du minage de cryptomonnaies, les attaquants établissent une persistance dans le système après des incidents de compromission de messagerie professionnelle (BEC) et utilisent les ressources de l'organisation pour des activités de spam. Cette approche à multiples volets souligne la gravité de la menace posée par ces cybercriminels.

Les efforts de suivi et de détection vigilants de Microsoft

Microsoft suit activement ces activités malveillantes et a pris des mesures pour améliorer la détection des applications OAuth malveillantes. Des outils comme Microsoft Defender for Cloud Apps ont été déployés pour identifier et neutraliser les menaces rapidement. 

Une mesure clé consiste à empêcher les comptes compromis d'accéder aux ressources critiques, ce qui est essentiel pour contrer les tentatives des attaquants d'élever leurs privilèges et d'accomplir leurs actions malveillantes.

Atténuation des risques : les recommandations de Microsoft

L'analyse complète de Microsoft sur ces attaques a produit des recommandations essentielles pour que les organisations renforcent leur posture de sécurité et se protègent contre l'exploitation d'OAuth :

Mettre en œuvre l'authentification multifacteur (MFA) : Un nombre significatif de comptes compromis ne disposait pas de MFA, les rendant vulnérables aux attaques. L'activation de la MFA réduit considérablement le risque d'accès non autorisé en exigeant que les utilisateurs fournissent plusieurs formes de vérification.

Exploiter les politiques d'accès conditionnel et l'évaluation continue de l'accès : Ces mesures de sécurité avancées permettent une évaluation des risques en temps réel et la révocation de l'accès lorsque des activités suspectes sont détectées. Les organisations peuvent répondre rapidement aux menaces potentielles, empêchant tout dommage supplémentaire.

Utiliser les paramètres de sécurité par défaut dans Azure Active Directory (Azure AD) : Particulièrement bénéfique pour les organisations utilisant la version gratuite de la licence Azure AD, les paramètres de sécurité par défaut offrent des configurations prédéfinies telles que la MFA et la protection des activités privilégiées. Ces paramètres fournissent une base solide pour la sécurité.

Auditer régulièrement les applications et les autorisations : Il est recommandé aux organisations de passer en revue les applications et les autorisations accordées au sein de leurs systèmes. Le respect du principe du moindre privilège garantit que seul l'accès nécessaire est accordé, réduisant ainsi la surface d'attaque.