Nowa fala ataków na Azure: ConsentFix v3 automatyzuje kradzież tokenów OAuth
Atakujący wykorzystują zautomatyzowaną wersję techniki ConsentFix, by przejmować konta Microsoft Azure bez hasła i z pominięciem MFA. Administratorzy powinni wdrożyć token binding i monitorować nietypowe zgody OAuth.
Atak na Microsoft Azure przybiera nową, bardziej niebezpieczną formę. Badacze bezpieczeństwa opisali technikę o nazwie ConsentFix v3, która automatyzuje proces kradzieży tokenów OAuth i pozwala przejąć konto bez znajomości hasła, nawet przy włączonym uwierzytelnianiu wieloskładnikowym (MFA). Administratorzy chmur firmowych powinni jak najszybciej zapoznać się z mechanizmem ataku i wdrożyć zalecane środki ochrony.
Czym jest ConsentFix i dlaczego wersja 3 jest groźniejsza?
Pierwotna wersja ConsentFix, opisana przez firmę Push Security w grudniu 2025 roku, wykorzystywała socjotechnikę, by nakłonić ofiarę do skopiowania i wklejenia lokalnego adresu URL zawierającego kod autoryzacyjny OAuth. Atakujący podszywał się pod legalny proces logowania do Azure CLI. Wersja druga, opracowana przez badacza Johna Hammonda, zastąpiła ręczne kopiowanie przeciąganiem linku, co zwiększyło skuteczność phishingu.
ConsentFix v3 idzie o krok dalej – wprowadza pełną automatyzację i skalowalność. Jak wynika z informacji uzyskanych z forów hakerskich, atak rozpoczyna się od sprawdzenia, czy w środowisku ofiary występuje Azure, poprzez weryfikację prawidłowych identyfikatorów dzierżawy (tenant ID). Następnie zbierane są dane pracowników: imiona, role i adresy e-mail, co pozwala na precyzyjne spersonalizowanie wiadomości phishingowych.
Jak działa zautomatyzowany łańcuch ataku?
Kluczowym elementem nowej techniki jest wykorzystanie bezpłatnej platformy integracyjnej Pipedream. Jak wyjaśniają badacze z Push Security, pełni ona trzy role: jest punktem końcowym webhook odbierającym kod autoryzacyjny od ofiary, silnikiem automatyzacji, który natychmiast wymienia ten kod na token odświeżający za pośrednictwem API Microsoftu, oraz centralnym kolektorem udostępniającym przechwycone tokeny atakującemu w czasie rzeczywistym.
Atakujący wdraża stronę phishingową hostowaną na Cloudflare Pages, która imituje legalny interfejs Microsoftu lub Azure. Gdy ofiara wchodzi w interakcję ze stroną, zostaje przekierowana na lokalny adres URL zawierający kod autoryzacyjny OAuth. Ofiara jest nakłaniana do wklejenia lub przeciągnięcia tego adresu z powrotem na stronę phishingową. To uruchamia potok eksfiltracji danych: strona wysyła przechwycony URL do webhooka Pipedream, a backend natychmiast wymienia kod na tokeny.
W fazie poeksploatacyjnej uzyskane tokeny są importowane do narzędzia Specter Portal, co pozwala atakującemu na interakcję z przejętym środowiskiem Microsoft i dostęp do zasobów, na które token zezwala – takich jak poczta, pliki i inne usługi powiązane z kontem.
Dlaczego tradycyjne zabezpieczenia nie wystarczają?
Problem polega na tym, że atak wykorzystuje zaufanie do aplikacji pierwszej strony Microsoftu (first-party apps). Jak zauważają badacze, zaufanie to ma charakter architektoniczny, a rodzina identyfikatorów klientów (FOCI) – czyli grupa aplikacji Microsoftu współdzielących uprawnienia i tokeny odświeżające – jest z punktu widzenia użyteczności bardzo przydatna. To właśnie sprawia, że całkowite zablokowanie tego typu ataków jest trudne.
Push Security zaznacza, że testy ConsentFix v3 przeprowadzono na własnych kontach Microsoft, dlatego trudno w pełni ocenić rzeczywisty wpływ ataku – zależy on bowiem od uprawnień, usług i ustawień dzierżawy w konkretnej organizacji. Nie wiadomo również, czy wersja v3 zdążyła już zyskać popularność wśród cyberprzestępców.
Jak administratorzy mogą się bronić?
Mimo że całkowite wyeliminowanie ryzyka jest trudne, eksperci wskazują konkretne działania obronne. Przede wszystkim należy wdrożyć token binding – powiązanie tokenów z zaufanymi urządzeniami. Kolejnym krokiem jest skonfigurowanie reguł wykrywania anomalii behawioralnych, które pozwolą wychwycić nietypowe żądania autoryzacyjne. Administratorzy powinni również zastosować ograniczenia uwierzytelniania aplikacji (app authentication restrictions).
Warto także regularnie przeglądać przyznane zgody OAuth w dzierżawie Azure AD i usuwać te, które nie są niezbędne. Monitorowanie logów pod kątem nietypowych prób logowania z użyciem tokenów oraz edukacja użytkowników w zakresie rozpoznawania zaawansowanych ataków phishingowych to kolejne elementy skutecznej obrony.
Ataki typu ConsentFix pokazują, że nawet zaawansowane mechanizmy uwierzytelniania, takie jak MFA, nie są rozwiązaniem ostatecznym. Kluczowe znaczenie ma warstwowe podejście do bezpieczeństwa i ciągłe monitorowanie środowiska chmurowego pod kątem anomalii.
