Синий фишинг: боты с пропуском от Microsoft
Следите за новостями по этой теме!
Подписаться на «Гик Гайд (3 апельсина) / Цифра сегодня»
Исследователи Proofpoint описали схему атаки BluePhishing: злоумышленники могут внедрить вредоносных ИИ-агентов в корпоративную среду Microsoft Entra, используя настоящие страницы авторизации Microsoft и обман пользователя.
Microsoft Entra Agent ID — расширение системы Microsoft Entra, которое позволяет компаниям создавать ИИ-агентов, присваивать им цифровые идентификаторы и задавать, к каким сервисам и данным те получат доступ. Для массового создания агентов Microsoft предусмотрела «чертежи агентов» — шаблоны, на основе которых можно выпускать множество идентификаторов с разными разрешениями.
По данным Proofpoint, атакующий сначала создаёт такой шаблон в подконтрольной ему среде Microsoft Entra. Он настраивает учётные данные и разрешения агента, а также возможность одобрения шаблона другими организациями. Затем преступник формирует ссылку на настоящую страницу Microsoft, где пользователя попросят предоставить согласие на установку шаблона и указанные разрешения.
Для подготовки атаки злоумышленнику нужны некоторые сведения о цели: идентификатор её тенанта — отдельной организации в облачной среде Microsoft — и данные конкретного пользователя, которого можно адресно убедить перейти по ссылке. Ссылку могут прислать по электронной почте, в соцсетях или мессенджере. Страница входа и окно запроса разрешений при этом настоящие, поэтому типичные признаки поддельного сайта отсутствуют.
Если сотрудник одобрит запрос, вредоносный агент появится в корпоративной среде. Чем выше полномочия человека, давшего согласие, тем серьёзнее возможный ущерб. Для предоставления разрешений приложению на уровне всей организации требуется администратор с соответствующими правами. Обычный пользователь в зависимости от политики компании может одобрить некоторые делегированные разрешения.
После установки агент получает разрешение AgentIdentity.CreateAsManager. Оно позволяет создавать дополнительные идентификаторы, связанные с тем же шаблоном. Один шаблон может поддерживать до 250 идентификаторов агентов — так в сети компании может появиться целая группа вредоносных ботов с разными задачами.
Затем атакующий получает токены доступа для созданных идентификаторов. Они позволяют агентам действовать как одобренные участники корпоративной среды и обращаться к разрешённым ресурсам; полученные данные злоумышленники могут похищать.
Proofpoint советует повышать осведомлённость сотрудников о рисках согласия на установку агентов, особенно если речь идёт о сторонних шаблонах из ненадёжных источников. Настройки согласия пользователей, ограничивающие одобрение сторонних приложений, распространяются также на шаблоны агентов и их идентификаторы.
Исследователи отмечают, что идентификатор шаблона агента остаётся одинаковым во всех тенантах, которые дали на него согласие. Это может помочь обнаружить или удалить известный вредоносный шаблон. Для ограничения ущерба Proofpoint рекомендует придерживаться принципа минимально необходимых прав и использовать политики Conditional Access для агентов, а также Entra ID Protection для агентов. События, связанные с агентами и их шаблонами, отображаются в журнале аудита подобно операциям согласия на установку приложений.
PEREC.RU
Корпоративная безопасность любит ритуалы: выдать агенту цифровое имя, аккуратно расписать его полномочия и надеяться, что никто не принесёт в офис чужой шаблон с настоящей печатью Microsoft. BluePhishing неприятен именно тем, что ломает привычную картину фишинга: жертве не подсовывают кривую страницу и не просят поверить в наследство нигерийского принца. Ей предлагают легитимное окно согласия — и рассчитывают на старое доброе человеческое «ну раз Microsoft спросила, нажму».
Здесь технология не столько взламывает дверь, сколько просит сотрудника самому открыть её и придержать. Система идентификаторов и разрешений может быть вполне разумной; проблема начинается, когда организация раздаёт согласия быстрее, чем успевает понять, кому именно выдан пропуск. Администратор в такой истории — не просто пользователь с красивой должностью, а человек, чьё одно подтверждение способно превратить локальную ошибку в корпоративный масштаб.
Особенно выразительно выглядит возможность создавать сотни дополнительных агентов. Индустрия называет это масштабированием, злоумышленник — запасом исполнителей, а отдел безопасности потом получает увлекательную задачу отличить полезный автоматизированный труд от цифровой толпы, пришедшей за данными. Никакой магии: шаблон, разрешение, токен доступа. Самые дорогие неприятности, как обычно, собираются из вполне штатных деталей.
Рекомендации Proofpoint — ограничивать права, проверять согласия и следить за журналами — звучат менее эффектно, чем очередная презентация о «революции ИИ», зато именно они работают. Принцип минимальных полномочий скучен ровно до того момента, когда выясняется, что агенту зачем-то разрешили больше, чем нужно. А журнал аудита полезен только если кто-то его читает, а не хранит как цифровую икону на случай проверки.
Есть и неудобная сторона для тех, кто продаёт автоматизацию как способ убрать человека из процессов: человек всё равно остаётся в контуре, только теперь его роль — нажать кнопку согласия, не перепутав доверенный шаблон с чужим. В этой модели выигрывает тот, кто умеет незаметно встроиться в нормальную процедуру; проигрывает организация, которая принимает подлинность страницы за доказательство добрых намерений.
Так что BluePhishing — не приговор ИИ-агентам и не повод отключить всё новое. Это напоминание, что цифровой пропуск не становится безопасным оттого, что его красиво оформили. Но надежда на то, что все будут проверять каждое разрешение, по-прежнему держится на самом ненадёжном компоненте системы — уставшем человеке, которому просто хочется закрыть всплывающее окно и вернуться к работе.
