В дайджесте за 22–23 октября – расследование кампании против Microsoft 365, в которой злоумышленник массово воспроизводил похищенные после MFA токены, закреплялся через фиктивные устройства и новые способы аутентификации, а затем скрывал переписку правилами Outlook.


РФ: подтверждённых случаев нет

В материалах выпуска нет новых подтверждённых компрометаций российских организаций через фишинг или социальную инженерию. Достаточно конкретных публичных заявлений злоумышленников, которые можно было бы независимо проверить, также не обнаружено.

Кампания против Microsoft 365 затронула 79 организаций

Компания Huntress 22 октября опубликовала технический отчёт о кампании, которую наблюдала с 14 июля по 22 сентября 2026 года. Независимое профильное издание Help Net Security пересказало результаты 23 октября [1][2]. Страны, отрасли и названия пострадавших организаций не раскрыты.

Huntress сообщила о реагировании на инциденты в 79 организациях. Исследователи зафиксировали не менее 497 успешных входов в Microsoft 365 и связали с кампанией более 200 000 неудачных попыток из диапазона 193.26.115[.]0/24. Диапазон принадлежит немецкому хостинг-провайдеру 1337 Services GmbH. Это легитимный поставщик инфраструктуры, и данных о его участии в атаках нет [1].

Оператор не подбирал пароли. Он получал токены уже авторизованных сессий и массово воспроизводил их с арендованных серверов. Huntress назвала эту схему token spraying по аналогии с password spraying: вместо проверки одного пароля против множества учётных записей автоматизация использовала множество ранее похищенных токенов в разных организациях [1].

Как похищали и воспроизводили сессии

Часть токенов поступала через adversary-in-the-middle, или AiTM. Поддельная страница входа передавала жертве настоящую форму Microsoft и запрос MFA, но сохраняла выданный после успешной проверки токен. Другой канал – device-code phishing: человека убеждали ввести выданный атакующим код на легитимной странице Microsoft. Huntress также упоминает социальную инженерию во время обычного входа, но не раскрывает тексты писем и конкретные легенды [1].

Поскольку токен выпускался после проверки второго фактора, его держателю не требовались пароль и повторный запрос MFA. Инфраструктура захвата и воспроизведения была разделена. В двух подробно описанных эпизодах украденная сессия появилась у атакующего через 12 и 4 минуты соответственно [1].

Для воспроизведения использовались шесть основных адресов из 193.26.115[.]0/24, которые последовательно сменяли друг друга. Huntress выделила два набора инструментов. Первый имитировал программный OAuth-клиент: запросы OAuth2:Token с user agent node или сокращённым Mozilla/5.0 обращались к Microsoft Graph, Exchange Online, SharePoint Online и Device Registration Service. Второй воспроизводил браузерную сессию через OfficeHome и актуальные Chrome или Edge под Windows [1].

Закрепление: устройства, MFA и правила почты

После первого входа злоумышленник создавал более устойчивый доступ. Huntress обнаружила не менее 48 фиктивных Entra-устройств с именами вида DESKTOP- и восемью прописными шестнадцатеричными символами. Обычное имя Windows после установки похоже внешне, но содержит семь буквенно-цифровых символов. Сам шаблон не является достаточным доказательством компрометации и требует проверки других признаков [1].

В 19 организациях существующие способы MFA удалили, а новый зарегистрировали в течение трёх часов после первого входа с адреса кампании. В одном эпизоде приложение-аутентификатор с меткой iPhone 13 добавили менее чем через час после захвата сессии. Такой способ входа сохраняется после смены пароля, пока администратор отдельно не удалит неизвестный метод MFA [1][2].

Для сокрытия переписки создавались правила Outlook с неприметными именами: ., sss, ss, iT, ,., ........, s и d. Они помечали письма прочитанными, удаляли их или переносили в RSS Feeds, RSS Subscriptions и Conversation History. Все найденные правила создавались не из сети 1337 Services, а через другие VPN и арендованные узлы. В четырёх почтовых ящиках для этого применялся Outlook REST API [1].

В одном случае захваченный ящик использовали для спам-рассылки сотням внешних адресатов. В другом атакующий отправил внешнему бухгалтеру письмо о выплатах, предварительно настроив правила на слова payroll, direct deposit, bank и bonus и на адрес бухгалтера. Финансовый ущерб и объём возможной утечки данных не подтверждены [1].

Четыре фазы кампании

Первая волна началась 14 июля. В 13 из 14 инцидентов того дня злоумышленник зарегистрировал фиктивное Windows-подобное устройство. К 3 августа Huntress зафиксировала успешные входы в 37 организаций и 37 таких устройств [1].

После двухнедельного перерыва, 17 августа, оператор перешёл на новые адреса и добавил device-code phishing. В этой фазе исследователи впервые увидели последовательное удаление способов MFA и быструю регистрацию нового аутентификатора [1].

С 11 сентября автоматизированный инструмент за четыре дня выполнил, согласно основному описанию фазы, 303 успешных входа в 29 организациях. С того же адреса Conditional Access заблокировал 1 052 попытки, причём все блокировки пришлись только на четыре другие организации. В разделе рекомендаций того же отчёта для этой фазы указаны 232 успешных входа в 28 организаций. Huntress не объясняет расхождение, поэтому точное число для отдельной фазы требует уточнения; общий итог 497 успешных входов в 79 организациях указан последовательно [1].

Последний подтверждённый захват произошёл 22 сентября. Жертва прошла MFA через AiTM-реле, а через четыре минуты та же сессия появилась на узле воспроизведения. При переходе через VDI-туннель операционная система в журнале сменилась с macOS на Windows, после чего атакующий открыл почту [1].

Атрибуция и ограничения данных

Личность оператора и его принадлежность к какой-либо группе не установлены. Уверенность в факте компрометаций высокая, поскольку выводы Huntress основаны на телеметрии реагирования в средах клиентов. Microsoft Entra ID Protection независимо помечала несколько использованных IP-адресов как инфраструктуру известных злоумышленников, но это не устанавливает конкретную группу [1].

Наблюдение касается клиентов и инцидентов, доступных Huntress, а не всех организаций Microsoft 365. Количество входов также не равно числу отдельных жертв: в одной организации могло быть несколько событий. Публикация отчёта 22 октября не означает, что атаки начались в этот день.

Что проверить защитникам

  • Найти входы и события OAuth2:Token из 193.26.115[.]0/24, а также быстрые переходы одной сессии между разными IP-адресами, операционными системами и клиентами Microsoft 365.
  • Проверить регистрации Entra-устройств с Windows-подобными именами и восемью шестнадцатеричными символами, особенно если они пришли с адресов хостинг-провайдеров. Совпадение имени само по себе не доказывает атаку.
  • Просмотреть удаления и добавления способов MFA, особенно последовательности с интервалом в несколько минут, и удалить нераспознанные аутентификаторы.
  • Проверить короткие и состоящие из знаков правила Outlook, перенос писем в папки RSS и Conversation History, а также фильтры по темам выплат и банковских реквизитов.
  • При подтверждённом захвате отозвать все сессии, сменить пароль, удалить неизвестные устройства и способы MFA. Одна смена пароля не отзывает действующий access token немедленно и не удаляет созданные атакующим методы входа.
  • Распространить Conditional Access на всех пользователей, облачные приложения и типы клиентов. Device-code flow следует запретить там, где он не нужен, а регистрацию приложений, устройств и способов MFA – контролировать отдельно [1].

Источники

[1] Huntress, 22 октября 2026. M365 Token Spray and Replay Campaign Compromises Business Email Accounts.
https://www.huntress.com/blog/token-replay-spray

[2] Help Net Security, 23 октября 2026. Microsoft 365 accounts compromised at 79 organizations, no passwords needed.
https://www.helpnetsecurity.com/2026/10/23/microsoft-365-accounts-stolen-sessions/