Okta: helpdesks klanten doelwit van social engineering om MFA te resetten
De helpdesks van organisaties die klant zijn van authenticatieplatform Okta zijn de afgelopen weken het doelwit geweest van social engineering-aanvallen, waarbij de aanvallers probeerden om de multifactorauthenticatie (MFA) van 'highly privileged users' te resetten. Vervolgens gebruiken de aanvallers hun toegang tot Okta super admin-accounts om zich als andere gebruikers binnen de aangevallen organisatie voor te doen. Dat meldt Okta in een blogposting.
Okta biedt een platform waar wereldwijd duizenden bedrijven gebruik van maken om werknemers toegang tot systemen en applicaties te geven. Het bedrijf werd vorig jaar zelf ook het slachtoffer van een aanval. Bij de aanvallen waarover Okta nu bericht waren de helpdesks van klanten het doelwit. De aanvallers weten de helpdeskmedewerkers zover te krijgen dat ze de MFA van accounts met hogere rechten verwijderen. Het ging de aanvallers vooral om gebruikers met super administrator rechten.
Volgens Okta lijkt het erop dat de aanvallers voordat de social engineering-aanval plaatsvindt over de wachtwoorden van de privileged user accounts beschikten of de authenticatie via Active Directory manipuleerden. Zodra een super admin-account was gecompromitteerd werd het account gebruikt om andere accounts hogere rechten te geven en/of authenticators van bestaande admin-accounts te resetten. In sommige gevallen besloten de aanvallers de 2FA-vereiste uit het authenticatiebeleid te verwijderen.
Bij de volgende stap van de aanval maakten de aanvallers gebruik van een eigen tweede identiteitsprovider, die als "impersonation app" werd ingesteld. Daarmee kregen de aanvallers in naam van andere gebruikers toegang tot applicaties binnen de aangevallen organisaties. Dit is mogelijk vanwege 'inbound federation'. Daarmee is het mogelijk om toegang tot applicaties van een 'target' identiteitsprovider te krijgen als de gebruiker zich eerst bij een 'source' identiteitsprovider heeft ingelogd.
Bij hun eigen 'source' identiteitsprovider wijzigden de aanvallers de gebruikersnaam voor de aangevallen gebruiker, zodat de naam overeenkwam met een echte gebruiker bij de 'target' identiteitsprovider. Volgens Okta is inbound federation vooral populair bij grote organisaties die met overnames en fusies te maken hebben. Gebruikers van de verschillende organisaties, met elk hun eigen identiteitsproviders, kunnen zo toch toegang tot de relevante applicaties krijgen. Hoeveel organisaties precies zijn getroffen laat Okta niet weten. De aanvallen deden zich voor tussen 29 juli en 19 augustus.
Dat is opmerkelijk omdat in dat artikel een phishing-aanval op WebAuthn (Yubikeys in dit geval) beschreven wordt. Potentiële slachroffers ontvingen namelijk een SMS met de volgende inhoud:
https://login.<obfuscated>-helpdesk.com
Daaronder schrijft de auteur (opmaak toegevoegd door mij):
Dat wijkt nogal af van de titel en de gangbare marketing-speak dat "WebAuthn phishing-resistant is". Dat is het in elk geval niet als "downgrade attacks" mogelijk zijn; in dit geval doordat aanvallers proberen om medewerkers ervan te overtuigen dat zij tijdelijk Yubikey-logins moeten disablen.
Okta's "oplossing" is het blokkeren van van alle inlogmogelijkheden waarbij software de domeinnaam van de inlogserver checkt (om "evil proxy" aanvallen te pareren). Een gebruiker die haar/zijn Yubikey kwijt is, kan dan niet inloggen - tenzij je een alternatieve eveneens phishing-resistant inlogmethode toetstaan (en de gebruiker daar wél over beschikt).
Organisaties doen er ook verstandig aan om toegang tot hun DNS-records grondig te beveiligen en die records up-to-date te houden. Dat laatste gaat nog vaak mis bij veel organisaties, zoals het Oostenrijkse beveiligingsbedrijf Certitude eind vorige week beschreef [2].
Een subdomain-hijack biedt overigens geen garantie voor succes voor aanvallers die daarmee "evil proxy" WebAuthn-phishing-aanvallen uitvoeren.
Voorbeeld: stel dat gebruikers kunnen inloggen op login.example.com en op test.example.com, en dat aanvallers toegang verkrijgen tot een server met de domeinnaam blog.example.com. Phishing is dan mogelijk als de echte inlogservers vaststellen dat gebruikers inloggen op *.example.com (maar niet als elke inlogserver checkt op diens eigen FQDN).
[1] https://sec.okta.com/articles/2023/07/unexpected-endorsement-webauthn/
[2] https://certitude.consulting/blog/en/subdomain-hijacking/
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.