Microsoft waarschuwt gebruikers en organisaties voor 'device code phishing' waarbij aanvallers Microsoft Teams-uitnodigingen versturen om zo tokens te verkrijgen die toegang tot het account van de gebruiker geven. Verschillende organisaties zijn op deze manier succesvol aangevallen. Microsoft biedt 'device code authentication' voor apparaten met beperkte invoermogelijkheden, zoals bijvoorbeeld smart-tv's, internet of things-apparaten en printers.

Een gebruiker moet hiervoor een aparte code door Microsoft laten genereren en die vervolgens bij het inloggen opgeven. Microsoft zal dan een token genereren waarmee het 'invoer beperkte' apparaat kan inloggen. Bij de nu waargenomen aanvallen zijn het echter de aanvallers die een device code laten genereren. Deze device code sturen de aanvallers, als onderdeel van een phishingmail, samen met een link naar een echte Microsoft-inlogpagina, naar het slachtoffer.

Het slachtoffer logt vervolgens via de officiële Microsoft-inlogpagina in en vult daarbij de opgegeven device code in. Vervolgens genereert Microsoft een token voor het apparaat dat de device code had opgevraagd. De aanvallers gebruiken vervolgens dit token om op het Microsoft-account van het slachtoffer in te loggen en zo bijvoorbeeld vertrouwelijke informatie te stelen of verdere aanvallen uit te voeren.

Volgens Microsoft vinden de aanvallen sinds vorig jaar augustus plaats en zijn overheidsinstanties, NGO's en industrieën in allerlei sectoren aangevallen. De aanvallers benaderen hun slachtoffers eerst via bijvoorbeeld WhatsApp, Signal en Teams. Daarna sturen ze een uitnodiging voor een Teams-meeting, voorzien van de eerder gegenereerde device code. De aanvallers stellen dat deze code de 'uitnodigingscode' is. Het doelwit opent de link en krijgt daarna een Microsoft-venster te zien dat om de device code vraagt.

Securitybedrijf Volexity bericht ook over de aanvallen. Het bedrijf stelt dat die niet nieuw zijn, maar zelden door statelijke actoren worden gebruikt. Bij één van de aanvallen die Volexity onderzocht besloten de aanvallers, nadat ze het token hadden ontvangen, om allerlei bestanden uit de OneDrive van het slachtoffer te downloaden.

Microsoft stelt dat de aanvallers met de ontvangen token zich lateraal door de omgeving kunnen bewegen of het gecompromitteerde account gebruiken om nieuwe phishingberichten te versturen. Microsoft adviseert om de 'device code flow' waar mogelijk te blokkeren en alleen toe te staan als dit noodzakelijk is. Hieronder een afbeelding van de aanval. Linksonder is de 'uitnodiging' en de code van de aanvallers te zien. Rechtsonder de Microsoft-inlogpagina die om de code vraagt.