I cybercriminali sfruttano il sistema OAuth per dirottare gli account degli utenti e alimentare il cybercrimine

In un recente avvertimento, il team di sicurezza di Microsoft ha portato alla luce una tendenza preoccupante nel mondo del cybercrimine.

I criminali stanno sfruttando sempre di più il sistema OAuth, comunemente utilizzato dai siti web per verificare le identità degli utenti, ottenere l'accesso non autorizzato ai sistemi e lanciare varie forme di attacchi informatici, tra cui il mining illegale di criptovalute. 

Lo sfruttamento delle applicazioni OAuth da parte dei cybercriminali presenta una sfida multifaccettata per le organizzazioni. Gli attaccanti avviano le loro campagne compromettendo gli account degli utenti, spesso attraverso attacchi di phishing o password-spraying. 

I loro bersagli principali sono gli account privi di robusti meccanismi di autenticazione, rendendoli vulnerabili ad attacchi di indovinare le credenziali. Una volta compromessi questi account, i cybercriminali ottengono un punto di appoggio all'interno del sistema.

Una delle attività nefaste che seguono è il deployment di macchine virtuali (VM) per il mining di criptovalute. Questo non solo sottrae risorse di calcolo, ma può anche avere un impatto significativo sul consumo energetico di un'organizzazione e sulle sue prestazioni complessive. 

Oltre al mining di criptovalute, gli attaccanti stabiliscono una persistenza all'interno del sistema dopo gli incidenti di Business Email Compromise (BEC) e utilizzano le risorse dell'organizzazione per attività di spamming. Questo approccio multifrontale sottolinea la gravità della minaccia posta da questi cybercriminali.

Gli sforzi di monitoraggio e rilevamento vigili di Microsoft

Microsoft ha monitorato attivamente queste attività malevole e ha intrapreso misure per migliorare il rilevamento delle applicazioni OAuth malevole. Strumenti come Microsoft Defender for Cloud Apps sono stati implementati per identificare e neutralizzare le minacce rapidamente. 

Una misura chiave consiste nel prevenire l'accesso delle account compromesse a risorse critiche, il che è fondamentale per sventare i tentativi degli attaccanti di escalare i propri privilegi e portare a termine le loro azioni malevole.

Mitigazione dei rischi: i consigli di Microsoft

L'analisi completa di Microsoft di questi attacchi ha prodotto raccomandazioni essenziali per le organizzazioni per rafforzare la propria postura di sicurezza e proteggersi dallo sfruttamento di OAuth:

Implementare l'Autenticazione Multifattore (MFA): Un numero significativo di account compromessi non disponeva di MFA, rendendoli vulnerabili agli attacchi. Abilitare l'MFA riduce drasticamente il rischio di accesso non autorizzato richiedendo agli utenti di fornire più forme di verifica.

Sfruttare le Policy di Accesso Condizionale e la Valutazione Continua dell'Accesso: Queste misure di sicurezza avanzate consentono una valutazione del rischio in tempo reale e la revoca dell'accesso quando vengono rilevate attività sospette. Le organizzazioni possono rispondere rapidamente alle potenziali minacce, impedendo ulteriori danni.

Utilizzare le Impostazioni di Sicurezza Predefinite in Azure Active Directory (Azure AD): Particolarmente benefico per le organizzazioni che utilizzano il livello gratuito della licenza Azure AD, le impostazioni di sicurezza predefinite offrono configurazioni preimpostate come MFA e protezione per le attività privilegiate. Queste impostazioni predefinite forniscono una solida base per la sicurezza.

Effettuare regolarmente Audit di App e Permessi: Si incoraggiano le organizzazioni a rivedere le applicazioni e i permessi concessi all'interno dei propri sistemi. L'adesione al principio del minimo privilegio garantisce che venga concesso solo l'accesso necessario, riducendo la superficie di attacco.