Una nueva técnica de phishing conocida como «CoPhish» aprovecha agentes de Microsoft Copilot Studio para enviar solicitudes OAuth fraudulentas usando dominios legítimos de Microsoft.
El uso indebido de los servicios de Microsoft para difundir contenido malicioso no es algo nuevo, pero esta táctica de ataque se adapta a medida que los servicios avanzan. Michael Bargury ha presentado una introducción sobre la explotación de Copilot en sus charlas en Black Hat, como «Living off Microsoft Copilot» y «15 Ways to Break Your Copilot».
Esta técnica fue desarrollada por investigadores de Datadog Security Labs, quienes alertaron en un informe a principios de semana que la versatilidad de Copilot Studio conlleva nuevos riesgos de phishing que no habían sido documentados anteriormente.
Aunque CoPhish se basa en la ingeniería social, Microsoft ha confirmado que tiene la intención de abordar las causas fundamentales con una actualización futura. «Hemos analizado este informe y tomaremos medidas en futuras actualizaciones del producto», declaró un portavoz de Microsoft. «Si bien esta técnica se basa en ingeniería social, estamos comprometidos a reforzar nuestras experiencias de gobernanza y consentimiento, y estamos considerando medidas de seguridad adicionales para ayudar a las organizaciones a prevenir el abuso».
Agentes de Copilot y phishing de OAuth
Los agentes de Copilot Studio son chatbots que los usuarios pueden crear y personalizar en copilotstudio.microsoft.com mediante «temas», que automatizan tareas específicas. Estos agentes se pueden compartir dentro del dominio de Microsoft habilitando la función «sitio web de demostración». Debido a que la URL es legítima, es más fácil que los usuarios caigan en la trampa e inicien sesión.
El tema de inicio de sesión, que autentica al usuario al interactuar con el chatbot, puede configurarse para realizar acciones específicas, como solicitar un código de verificación o redirigir a otra ubicación o servicio.
Katie Knowles, investigadora sénior de seguridad en Datadog, señala que un atacante puede personalizar el botón de inicio de sesión con una aplicación maliciosa, interna o externa al ambiente objetivo, y podría dirigirse a un administrador de la aplicación incluso sin tener acceso al entorno.
Actualmente, es posible atacar a un usuario sin privilegios en el inquilino si el atacante ya está presente en el entorno. Sin embargo, cuando Microsoft cambie la política predeterminada, la amenaza se limitará a los permisos de lectura y escritura en OneNote, cerrando brechas en servicios de correo electrónico, chat y calendario.
Knowles señala que, incluso tras la actualización de Microsoft, un atacante externo todavía podría dirigirse a un administrador de aplicaciones con una aplicación registrada externamente, ya que los cambios no se aplican a roles de privilegio elevado.
Los administradores de inquilinos pueden aprobar permisos solicitados por aplicaciones, internas o externas, aunque no estén verificadas (por ejemplo, si están marcadas como no publicadas por Microsoft o su organización).
Según el investigador de Datadog, un ataque CoPhish se inicia cuando el atacante crea una aplicación maliciosa multipropósito con el tema de inicio de sesión configurado para redirigir al proveedor de autenticación y capturar el token de sesión.
Para obtener el token de sesión, se establece una solicitud HTTP a una URL de Burp Collaborator y se envía la variable del token de acceso en un encabezado «token». «El ID de la aplicación (o ID del cliente), el secreto y las URL del proveedor de autenticación se utilizan para configurar los ajustes de inicio de sesión del agente», afirmó Knowles en su informe reciente.
Es importante destacar que la acción de redirección al hacer clic en el botón Iniciar sesión se puede configurar para apuntar a cualquier URL maliciosa; la URL del flujo de trabajo de consentimiento de la aplicación es solo una de las opciones disponibles para el atacante.
Ataque CoPhish a administradores
Al activar el sitio web de demostración del agente malicioso, un atacante puede divulgarlo a sus objetivos a través de campañas de phishing por correo electrónico o mensajes en Teams.
Dado que la URL es legítima y el diseño de la página podría hacer que los usuarios crean que es un servicio más de Microsoft Copilot, Knowles menciona que un posible indicio de fraude es el ícono de «Microsoft Power Platform», que puede pasar desapercibido.
Un administrador que caiga en la trampa y apruebe los permisos para la aplicación maliciosa será redirigido a la URL de redirección OAuth [token.botframework.com] para validar la conexión del bot.
«Esto puede parecer inusual, pero es parte del proceso estándar de autenticación de Copilot Studio que utiliza un dominio válido», afirman los investigadores de Datadog.
Una vez que se completa el proceso de autenticación, el usuario no recibirá ninguna notificación sobre el reenvío de su token de sesión a Burp Collaborator ni sobre el secuestro de su sesión, aunque podrá continuar interactuando con el agente.
Además, dado que el token se envió desde Copilot utilizando direcciones IP de Microsoft, no habrá rastro de conexión con el atacante en el tráfico web del usuario.
A continuación, se ofrece un resumen visual de cómo opera el ataque CoPhish, desde el momento en que la víctima accede a la aplicación maliciosa hasta que el atacante recibe el token.
.jpg)
Microsoft ha informado que los clientes pueden protegerse contra ataques CoPhish limitando los privilegios administrativos, reduciendo los permisos de las aplicaciones y aplicando políticas de gobernanza.
Datadog también ofrece un conjunto de consideraciones de seguridad, que incluyen la implementación de una política sólida de consentimiento que aborde cualquier fallo en la configuración predeterminada de Microsoft.
La empresa de monitorización y seguridad en la nube recomienda que las organizaciones desactiven los valores predeterminados para la creación de aplicaciones de usuario y que supervisen de cerca el consentimiento de las aplicaciones mediante Entra ID y la creación de eventos en el agente Copilot Studio.
Fuente:
BC
Con Información de blog.segu-info.com.ar