网络犯罪分子利用OAuth系统劫持用户账户并助长网络犯罪

在最近的一份警告中，微软的安全团队揭示了一种令人担忧的网络犯罪趋势。

犯罪分子越来越多地利用OAuth系统，该系统通常由网站用于验证用户身份，未经授权访问系统，并发动各种形式的网络攻击，包括非法加密货币挖矿。 

网络犯罪分子对OAuth应用程序的利用给组织带来了多方面的挑战。攻击者通过损害用户账户发起他们的活动，通常通过网络钓鱼或密码喷洒攻击。 

他们的主要目标是缺乏强大身份验证机制的账户，使其容易受到凭据猜测攻击。一旦这些账户被损害，网络犯罪分子就在系统内获得了立足点。

随之而来的邪恶活动之一是部署虚拟机（VM）进行加密货币挖矿。这不仅会消耗计算资源，还可能对组织的能源消耗和整体性能产生重大影响。 

除了加密货币挖矿外，攻击者在商业电子邮件妥协（BEC）事件后在系统内建立持久性，并利用组织的资源进行垃圾邮件活动。这种多管齐下的方法突显了这些网络犯罪分子构成的威胁的严重性。

微软的警惕跟踪和检测工作

微软一直在积极跟踪这些恶意活动，并采取措施增强对恶意OAuth应用程序的检测。Microsoft Defender for Cloud Apps等工具已被部署以快速识别和中和威胁。 

一项关键措施是防止受损账户访问关键资源，这对于挫败攻击者提升权限并执行其恶意行动的企图至关重要。

降低风险：微软的建议

微软对这些攻击的全面分析为组织提供了增强其安全态势并防止OAuth被滥用的基本建议：

实施多因素身份验证（MFA）：许多受损账户缺乏MFA，使其容易受到攻击。启用MFA通过要求用户提供多种形式的验证，大大降低了未经授权访问的风险。

利用条件访问策略和持续访问评估：这些高级安全措施使组织能够在检测到可疑活动时进行实时风险评估和访问撤销。组织可以快速应对潜在威胁，防止进一步损害。

在Azure Active Directory（Azure AD）中使用安全默认值：这对于Azure AD许可免费层的组织特别有益，安全默认值提供预配置的设置，如MFA和对特权活动的保护。这些默认值为安全提供了坚实的基础。

定期审计应用程序和权限：鼓励组织审查其系统内授予的应用程序和权限。遵循最小权限原则确保只授予必要的访问权限，从而减少攻击面。