Serangan bukti konsep yang disebut “Cookie-Bite” menggunakan ekstensi browser untuk mencuri cookie sesi browser dari Azure EntrA ID untuk memotong perlindungan otentikasi multi-faktor (MFA) dan mempertahankan akses ke layanan cloud seperti Microsoft 365, Outlook, dan tim.
Serangan itu dirancang oleh Peneliti Keamanan Varonisyang berbagi metode Proof-of-Concept (POC) yang melibatkan ekstensi krom jahat dan sah. Namun, mencuri cookie sesi bukanlah hal baru, karena infostealer dan serangan phishing musuh di tengah-tengah biasanya menargetkan mereka.
Sementara mencuri cookie untuk melanggar akun bukanlah konsep baru, penggunaan ekstensi browser krom berbahaya dalam teknik gigitan cookie patut diperhatikan karena siluman dan kegigihannya.
Serangan ekstensi cookie
Serangan gigitan cookie terdiri dari ekstensi krom jahat yang bertindak sebagai infostealer, yang menargetkan cookie ‘Estaututh’ dan ‘Estsauthpersistnt’ di Azure Entra ID, layanan Identity dan Access Management (IAM) berbasis cloud Microsoft.
Estauth adalah token sesi sementara yang menunjukkan bahwa pengguna diautentikasi dan telah menyelesaikan MFA. Tetap berlaku untuk sesi browser hingga 24 jam dan kedaluwarsa ketika aplikasi ditutup.
Estsauthpersistent adalah versi persisten dari cookie sesi yang dibuat ketika pengguna memilih untuk “tetap masuk” atau ketika Azure menerapkan kebijakan KMSI, menjaganya tetap berlaku hingga 90 hari.
Perlu dicatat bahwa sementara ekstensi ini dibuat untuk menargetkan cookie sesi Microsoft, dapat dimodifikasi untuk menargetkan layanan lain, termasuk cookie Google, Okta, dan AWS.
Ekstensi krom berbahaya Varonis berisi logika untuk memantau acara login korban, mendengarkan pembaruan tab yang cocok dengan URL login Microsoft.
Ketika login terjadi, ia membaca semua cookie yang dilingkupi ke ‘login.microsoftonline.com,’ menerapkan penyaringan untuk mengekstrak dua token yang disebutkan, dan mengeksfiltrasi data Cookie JSON ke penyerang melalui formulir Google.
“Setelah mengemas ekstensi ke dalam file CRX dan mengunggahnya ke Virustotal, hasilnya menunjukkan bahwa tidak ada vendor keamanan yang saat ini mendeteksinya sebagai jahat,” kata Varonis.
Sumber: Pahlawan
Jika aktor ancaman memiliki akses ke perangkat, mereka dapat menggunakan skrip PowerShell yang berjalan melalui penjadwal tugas Windows untuk mengotomatiskan injeksi ulang ekstensi yang tidak ditandatangani pada setiap peluncuran Chrome menggunakan mode pengembang.
Sumber: Pahlawan
Setelah cookie dicuri, para penyerang menyuntikkannya ke browser seperti kue curian lainnya. Ini dapat dilakukan melalui alat -alat seperti yang sah Cookie-Editor Chrome Extension, yang memungkinkan aktor ancaman untuk mengimpor cookie curian ke browser mereka di bawah ‘login.microsoftonline.com.’
Setelah menyegarkan halaman, Azure memperlakukan sesi penyerang seperti yang sepenuhnya diautentikasi, melewati MFA dan memberikan penyerang tingkat akses yang sama dengan korban.
Sumber: Pahlawan
Dari sana, penyerang dapat menggunakan Graph Explorer untuk menghitung pengguna, peran, dan perangkat, mengirim pesan atau mengakses obrolan di tim Microsoft, dan membaca atau mengunduh email melalui Outlook Web.
Eksploitasi lebih lanjut seperti eskalasi hak istimewa, gerakan lateral, dan pendaftaran aplikasi yang tidak sah juga dimungkinkan melalui alat -alat seperti Tokensmith, Roadtools, dan Aadinternals.
Sumber: Pahlawan
Microsoft menandai upaya login para peneliti dalam demonstrasi serangan sebagai “atrisk” karena mereka menggunakan VPN, sehingga pemantauan untuk masuk yang abnormal adalah kunci untuk mencegah serangan ini.
Selain itu, disarankan agar kebijakan akses bersyarat (CAP) ditegakkan untuk membatasi login pada rentang dan perangkat IP tertentu.
Mengenai ekstensi chrome, disarankan agar kebijakan Chrome ADMX diberlakukan hanya untuk memungkinkan ekstensi yang disetujui sebelumnya untuk menjalankan dan memblokir pengguna dari mode pengembang browser sepenuhnya.
