‏فیشینگ Device Code؛ وقتی چک‌کردن دامنه هم کافی نیست

به گفتهٔ نویسنده در Securelist (کسپرسکی)، یکی از رایج‌ترین توصیه‌های ضدفیشینگ اینه که قبل از وارد کردن اطلاعات، دامنهٔ سایت رو چک کن. ولی تو کمپینی که تحلیل کردن، مهاجم‌ها قربانی رو وادار می‌کنن اطلاعات رو مستقیم روی یه سایت شرکتیِ معتبر و مورد اعتماد وارد کنه: پلتفرم هویت مایکروسافت. این حمله از یه توسعهٔ استاندارد OAuth 2.0 به اسم Device Authorization Grant سوءاستفاده می‌کنه، برای همین بهش فیشینگِ Device Code می‌گن.

نویسنده اول توضیح می‌ده که این پروتکل اصلاً برای چی ساخته شده. این مکانیزم برای دستگاه‌هایی طراحی شده که کیبورد یا مرورگر کامل ندارن؛ مثل تلویزیون هوشمند، پرینتر و سخت‌افزار IoT. کاربر به‌جای تایپ رمز روی خود دستگاه، یه کد یه‌بارمصرف (user_code) رو روی یه صفحهٔ احراز هویت مایکروسافت (معمولاً با گوشی) وارد می‌کنه و بعد از تأیید، سرور توکن دسترسی، توکن رفرش و id_token صادر می‌کنه. مشکل اینجاست که دستگاه با توکن رفرش می‌تونه دسترسی رو مدت‌ها بی‌سروصدا تمدید کنه؛ و مهاجم دقیقاً همینو سوءاستفاده می‌کنه.

طبق گزارش، تو کمپینی که از اوایل آوریل تا اواسط مه ۲۰۲۶ دیده شده، ایمیل اولیه شبیه اطلاعیهٔ یه شرکت حقوقی بود و یه PDF محافظت‌شده با رمز داشت. لینکِ داخل سند به‌جای یه دامنهٔ جعلیِ آشکار، در واقع به یه آدرس معتبر مایکروسافت اشاره می‌کرد، ولی پارامترهای آدرس جوری تنظیم شده بودن که کاربر رو به یه صفحهٔ فیشینگ می‌فرستادن. جالب اینکه صفحهٔ فرود چند مرحله تأیید انسانی داشت تا کراولرهای امنیتی رو فیلتر کنه.

مکانیزم اصلی فریب اینه: مهاجم از قبل سمت سرور خودش با درخواست به مایکروسافت یه user_code گرفته و صفحهٔ فیشینگ به قربانی می‌گه این کد رو کپی کنه. با کلیک روی کد، کد تو کلیپ‌بورد کپی می‌شه و قربانی هم‌زمان به صفحهٔ واقعی و معتبر مایکروسافت هدایت می‌شه تا کدو پیست و وارد کنه. قربانیِ بی‌خبر بعد کل فرایند MFA رو مستقیم روی صفحهٔ رسمی مایکروسافت کامل می‌کنه، و همین که احراز هویت موفق می‌شه، مهاجم توکن دسترسی، رفرش و id_token نشست رو برمی‌داره. با اون‌ها می‌تونه ایمیل بخونه و بفرسته، از OneDrive فایل بیرون بکشه و به گفت‌وگوهای Teams دسترسی پیدا کنه.

نویسنده می‌گه این تهدید همچنان فعاله و به مناطق مختلف تطبیق داده شده؛ مثلاً یه نسخهٔ اخیر کاربرهای برزیل رو هدف گرفته. این نسخه به‌جای PDF مخرب، یه لینک به یه دامنهٔ معتبرِ دیاگرام‌کشیِ آنلاین داشت که به‌عنوان یه درگاهِ واسط، کاربر رو به زیرساخت فیشینگ می‌بُرد. درس اصلی به گفتهٔ نویسنده اینه که مهاجم‌ها همیشه سراغ سرقت اعتبارنامه یا بدافزار نمی‌رن؛ گاهی ابزارهای مشروع رو سلاح می‌کنن.

برای دفاع، توصیه‌ها اینه: اگه خودت روی یه دستگاه بیرونی درخواست لاگین با Device Authorization Grant شروع نکردی، درخواست تأیید رو قبول نکن؛ هیچ‌وقت کدی که از راه ایمیل یا پیام غیرمنتظره اومده رو وارد نکن، حتی اگه لینک مستقیم به دامنهٔ رسمی مایکروسافت اشاره کنه؛ و قبل از کلیک، با نگه‌داشتن نشانگر روی لینک، دامنهٔ اصلی و پارامترهای واسطِ مشکوک رو بررسی کن. نویسنده به تیم‌های سازمانی هم پیشنهاد می‌ده اگه Device Code Flow برای کارشون لازم نیست، از طریق سیاست‌های Conditional Access در Microsoft Entra ID غیرفعالش کنن و روی رویدادهای DeviceCodeSignIn مانیتورینگ اختصاصی بذارن.

نکات کلیدی:

• حمله قربانی رو وادار می‌کنه کد رو روی صفحهٔ واقعی و معتبر مایکروسافت وارد کنه، پس چک‌کردن دامنه کافی نیست
• سوءاستفاده از قابلیت مشروع OAuth یعنی Device Authorization Grant (مخصوص دستگاه‌های بدون کیبورد)
• بعد از کامل‌شدن MFA، مهاجم توکن دسترسی و رفرش رو می‌دزده و به ایمیل، OneDrive و Teams می‌رسه
• مهاجم‌ها از درگاه‌های واسطِ دامنه‌های معتبر برای رسوندن قربانی به صفحهٔ فیشینگ استفاده می‌کنن
• دفاع: قبول نکردن درخواست‌های ناخواسته و در صورت عدم نیاز، غیرفعال‌کردن Device Code Flow با Conditional Access