Chiến dịch tấn công phát lại token Microsoft 365 nhắm vào 79 tổ chức thông qua các máy chủ trung gian AitM

Từ ngày 14 tháng 7 đến ngày 22 tháng 9 năm 2026, các đối tượng tấn công đã sử dụng kỹ thuật trung gian (adversary-in-the-middle - AitM) để đánh cắp token đăng nhập Microsoft 365 và phát lại chúng nhằm chiếm quyền kiểm soát các tenant của nạn nhân. Huntress đã theo dõi hoạt động này, ghi nhận ảnh hưởng lên 79 tổ chức, làm lộ 97 tài khoản và đăng ký hàng chục thiết bị Entra giả mạo.

Diễn biến sự việc

Huntress quan sát thấy hơn 200.000 nỗ lực đăng nhập liên quan đến chiến dịch, dẫn đến 497 lần đăng nhập Microsoft 365 thành công. Từ các phiên làm việc này, các nhóm đe dọa cuối cùng đã chiếm quyền kiểm soát 97 tài khoản người dùng và đăng ký ít nhất 48 máy tính giả mạo trong danh bạ Microsoft của các nạn nhân. Các nhà nghiên cứu xác định phần lớn các nỗ lực thất bại bắt nguồn từ dải IP 193.26.115[.]0/24, với quan sát ban đầu chỉ ra địa chỉ Romania 193.26.115[.]221.

Sau khi có quyền truy cập, các đối tượng tấn công đã thêm ứng dụng xác thực của riêng họ để duy trì sự hiện diện và vượt qua các yêu cầu xác thực đa yếu tố (MFA) trong tương lai. Tại ít nhất 19 tổ chức, các phương thức MFA hiện có đã bị xóa và thay thế bằng phương thức mới trong vòng ba giờ kể từ lần đăng nhập trái phép đầu tiên. Trong một trường hợp vào ngày 21 tháng 7 năm 2026, một ứng dụng xác thực có tên “iPhone 13” xuất hiện chưa đầy 51 phút sau vụ chiếm quyền.

Những kẻ xâm nhập cũng tạo ra các quy tắc hộp thư ẩn với những cái tên như “.”, “sss”, và “d” để xóa hoặc chuyển hướng các tin nhắn chứa từ khóa như lương (payroll), tiền gửi (deposit) và thưởng (bonus). Một số quy tắc di chuyển thư vào các thư mục ít ai biết đến như RSS Feeds và Conversation History, và trong một hộp thư, tất cả tin nhắn đến đều được đánh dấu là đã đọc và xóa trước khi tài khoản đó được sử dụng để gửi spam ra ngoài.

Cơ chế hoạt động

Kỹ thuật cốt lõi là một máy chủ trung gian adversary-in-the-middle hiển thị trang đăng nhập Microsoft giả mạo cho nạn nhân. Khi người dùng nhập thông tin đăng nhập và hoàn tất xác thực đa yếu tố, máy chủ trung gian sẽ chuyển tiếp các dữ liệu này tới dịch vụ Microsoft thật. Mục tiêu không phải là giữ lại mật khẩu mà là thu thập token truy cập mà Microsoft cấp sau khi đăng nhập thành công.

Khi token bị đánh cắp, đối tượng tấn công sẽ phát lại nó từ hạ tầng của họ chỉ trong vài phút. Huntress gọi mô hình này là “token spraying” (phun token) vì nhiều token bị đánh cắp được tái sử dụng ở quy mô lớn trên nhiều tổ chức, tương tự như cách password spraying thử nghiệm một mật khẩu trên nhiều tài khoản. Vì token đã chứng minh được quá trình xác thực, đối tượng tấn công không cần giải quyết lại bước MFA trong phiên phát lại.

Các token được lấy từ nhiều vector khác nhau, bao gồm máy chủ trung gian AitM đứng sau các trang đăng nhập giả mạo, luồng lừa đảo mã thiết bị (device-code phishing), và kỹ thuật xã hội trong các lần đăng nhập hợp lệ. Việc đăng ký các thiết bị Entra giả mạo cung cấp cho đối tượng tấn công một con đường bền vững để yêu cầu các token mới, ngay cả khi phiên bị đánh cắp hết hạn hoặc bị thu hồi.

Chi tiết chính

• Dòng thời gian: Từ 14 tháng 7 đến 22 tháng 9 năm 2026, theo quan sát của Huntress.
• Phạm vi: 79 tổ chức bị ảnh hưởng; 97 tài khoản bị xâm nhập; 497 lần đăng nhập thành công từ hơn 200.000 nỗ lực.
• Hạ tầng: Các nỗ lực thất bại liên kết với dải IP 193.26.115[.]0/24; IP ban đầu 193.26.115[.]221 liên quan đến AsyncRAT và máy chủ Đức 1337 Services GmbH.
• Duy trì quyền truy cập: Đối tượng tấn công đã đăng ký ít nhất 48 thiết bị Entra giả mạo và thêm ứng dụng xác thực của riêng họ; tại 19 tổ chức, các phương thức MFA đã bị thay thế trong vòng ba giờ.
• Né tránh phát hiện: Các quy tắc hộp thư ẩn với tên ngắn hoặc dựa trên dấu chấm đã xóa hoặc chuyển hướng thư đề cập đến lương, tiền gửi và thưởng.
• Hướng dẫn giảm thiểu: Thu hồi các phiên, đặt lại mật khẩu, kiểm toán các thiết bị Entra và phương thức MFA, xem xét các quy tắc hộp thư và ứng dụng doanh nghiệp, đồng thời hạn chế các luồng mã thiết bị bằng Conditional Access.

Tầm quan trọng

Đối với các đội ngũ quản lý Microsoft 365, chiến dịch này cho thấy rằng MFA mạnh mẽ đơn thuần có thể không ngăn chặn được việc chiếm quyền tài khoản khi các token bị chặn và phát lại. Cuộc tấn công bỏ qua bước xác thực thứ hai thông thường bằng cách tái sử dụng một token chứng minh đăng nhập hợp lệ, sau đó củng cố quyền truy cập bằng cách đăng ký các thiết bị và ứng dụng xác thực mới. Sự kết hợp này khiến việc phát hiện trở nên khó khăn hơn và mở rộng cửa sổ thời gian cho hành vi trộm cắp hoặc lạm dụng dữ liệu.

Tác động vận hành là tức thì: các hộp thư bị xâm nhập có thể bị im lặng hóa bởi các quy tắc bí mật, các giao dịch tài chính có thể biến mất, và spam gửi ra ngoài có thể làm hỏng uy tín của người gửi. Vì các thiết bị giả mạo vẫn tồn tại trong danh bạ cho đến khi được gỡ bỏ thủ công, việc dọn dẹp đòi hỏi phải kiểm toán cẩn thận các đăng ký Entra, đăng ký MFA và các chính sách điều kiện, chứ không chỉ đơn thuần là đặt lại mật khẩu.

Bạn có thể làm gì

• Thu hồi các phiên đang hoạt động và đặt lại mật khẩu cho bất kỳ tài khoản nghi ngờ nào, sau đó buộc xác thực lại.
• Kiểm toán các đăng ký thiết bị Entra và xóa các mục không rõ ràng hoặc đáng ngờ, bao gồm các máy tính mới được thêm gần đây.
• Xem xét các phương thức MFA cho những người dùng bị ảnh hưởng và xóa các ứng dụng xác thực hoặc số điện thoại lạ.
• Tìm kiếm các quy tắc hộp thư bất ngờ với tên ngắn hoặc bất thường và kiểm tra xem có chuyển hướng thư tới các thư mục ít phổ biến hay không.
• Hạn chế các luồng xác thực mã thiết bị bằng cách sử dụng các chính sách Conditional Access để giảm rủi ro AitM và lừa đảo.
• Áp dụng Conditional Access rộng rãi: yêu cầu MFA hoặc chặn truy cập cho tất cả người dùng, tất cả ứng dụng đám mây và tất cả các loại ứng dụng khách.