SecurityScorecard ได้รายงานว่าพบบอตเน็ตที่ประกอบไปด้วยอุปกรณ์ติดมัลแวร์กว่า 130,000 เครื่อง กำลังโจมตีบัญชีผู้ใช้งาน Microsoft 365 ทั่วโลก ผ่านช่องโหว่ของ Basic Authentication โดยใช้เทคนิค Password Spray เพื่อหลีกเลี่ยงการตรวจจับจากระบบยืนยันตัวตนหลายขั้นตอน (MFA) โดยไม่ต้องยืนยันตัวตนด้วยรหัส OTP หรือ Token

แม้ว่าองค์กรจะเปิดใช้งาน MFA เพื่อเพิ่มความปลอดภัยจากการเข้าถึงบัญชีที่ไม่ได้รับอนุญาต แต่การโจมตีนี้สามารถหลีกเลี่ยงการยืนยันตัวตนหลายขั้นตอนด้วยการเข้าสู่ระบบแบบ non-interactive ผ่าน Basic Authentication ซึ่งเป็นวิธีการพิสูจน์ตัวตนที่มีความไม่ปลอดภัย โดยส่งข้อมูลรหัสผ่านในรูปแบบ plaintext หรือ Base64 การเข้าสู่ระบบด้วยวิธีนี้จะทำให้ระบบไม่มีการแจ้งเตือนขอรหัสยืนยันแบบสองขั้นตอน ทำให้ผู้โจมตีสามารถเข้าถึงบัญชีได้โดยไม่ต้องผ่านการยืนยันตัวตนหลายขั้นตอน

การโจมตีนี้ใช้ข้อมูลรหัสผ่านที่ถูกขโมยจาก Infostealer Malware ช่วยให้ผู้โจมตีสามารถพยายามเข้าสู่ระบบจากหลาย IP Address ต่าง ๆ โดยไม่ถูกตรวจจับว่าเป็นการโจมตี

Microsoft วางแผนที่จะยกเลิกการสนับสนุน Basic Authentication ภายในปี 2025 แต่ยังคงเปิดใช้งานในบางระบบ ซึ่งเป็นช่องทางที่ผู้โจมตีใช้ในการเข้าถึงบัญชี แม้ว่าจะมีการเปิดใช้งาน MFA แต่การเข้าสู่ระบบแบบ non-interactive ด้วย Basic Authentication ยังสามารถหลีกเลี่ยงระบบรักษาความปลอดภัยได้

คำแนะนำจาก SecurityScorecard:

  1. ปิดการใช้งาน Basic Authentication ใน Microsoft 365
  2. บล็อก IP Address ที่เกี่ยวข้องในรายงาน
  3. ใช้ Conditional Access Policies (CAP) เพื่อลดการพยายามเข้าสู่ระบบที่ไม่ได้รับอนุญาต
  4. เปิดใช้งาน MFA สำหรับทุกบัญชีในองค์กรเพื่อเพิ่มความปลอดภัย

ที่มา : bleepingcomputer