恶意外部 MFA 提供商可在登录期间窃取密码

安全研究人员开发了一种攻击方法，让拥有特权访问权限的黑客能够注册一个恶意的外部 MFA 提供商，在用户的合法登录尝试期间窃取其密码。

该技术由 Varonis Threat Labs 命名为 TrustSink，可适用于任何依赖这种外部认证模式的提供商，不过研究人员以 Microsoft Entra 为例演示了该攻击。

Microsoft Entra 支持外部 MFA 提供商，允许组织使用第三方认证服务来满足多因素认证请求。

根据 Microsoft 的说法，当用户使用第一因素（如密码）登录时，Entra 可以将他们重定向到外部 MFA 提供商以完成所需的第二因素。

如果该提供商返回一个表明第二因素已完成的有效签名令牌，Entra 就会认为 MFA 要求已满足。

Varonis 发现，已经入侵了一个高特权 Entra 账户的攻击者，可以注册一个恶意的外部认证方法 (EAM) 作为这些外部 MFA 提供商之一，并用它将一个逼真的 Microsoft 密码提示插入合法的认证流程中。

该假冒提示会在恶意提供商向 Entra 返回一个有效签名令牌之前，以明文形式捕获用户的密码，使登录在无错误显示的情况下完成。

"在我们的测试租户中，每次登录都正常完成，而我们的服务器收到了带有时间戳和来源 IP 地址的密码，"Varonis 解释道。

"重置被捕获的密码并不能移除该恶意提供商。它会留在认证流程中，在用户下次登录时捕获替换后的密码。"

值得注意的是，TrustSink 并不是一种初始访问攻击，它要求攻击者已经控制一个高特权的 Entra 账户。

滥用外部 MFA 提供商

TrustSink 滥用了 Microsoft 对已配置的外部 MFA 提供商所给予的信任。

Varonis 创建了一个对 Entra 而言看起来合法的外部 MFA 提供商，但向用户显示的是 Microsoft 密码页面的复制版。

在概念验证攻击期间，登录最初正常进行，用户在 Microsoft 合法的 login.microsoftonline.com 站点上输入其电子邮件地址和密码。

当 MFA 被触发时，Entra 将浏览器重定向到攻击者的外部 MFA 提供商以进行第二认证步骤。

该恶意提供商并不出示合法的第二因素质询，而是显示 Microsoft 密码提示的复制版。

如果受害者以为 Microsoft 正在作为认证流程的一部分请求密码而再次输入，该凭据就会被发送到攻击者控制的服务器。

随后，该恶意提供商生成一个声称 MFA 提示已完成并返回给 Entra 的签名令牌，允许用户继续访问其最初想要访问的应用。

从受害者的角度来看，登录似乎已正常完成。

Varonis 表示，该攻击之所以令人信服，是因为假冒密码提示出现在用户已经预期会有另一个认证步骤的时刻。

研究人员表示，该页面使用与 Microsoft 合法登录页面相同的字体、布局和按钮设计，并在受害者在 Microsoft 域上输入真实密码后立即出现。

Varonis 表示，TrustSink 建立在安全研究员 Dirk-Jan Mollema 此前研究的基础上，后者曾在 x33fcon 2025 上以 "Bringing Your Own Identity in Entra ID" 为题的演讲中进行过展示。

Mollema 展示了一个恶意注册的外部 MFA 提供商如何通过返回一个声称认证成功（而实际上并未执行预期的认证检查）的签名 JWT 来满足 MFA 要求。

TrustSink 将同一攻击滥用于凭据窃取。

Varonis 表示，注册该恶意外部方法需要修改 Authentication Methods Policy 并创建一个应用、服务主体和同意授权。

这些操作需要一个 Global Administrator 或 Authentication Policy Administrator 账户，这使 TrustSink 成为一种后入侵技术。

然而，一旦安装，该恶意提供商可以在后续登录中持续留在目标用户的认证路径中。

由于该恶意 MFA 提供商仍注册在租户的 Authentication Methods Policy 中，即使用户更改了密码，它也会在下一次登录尝试时被再次捕获。

因此，Varonis 警告管理员在轮换受影响凭据之前，先移除该恶意提供商。

Varonis 建议在重置受影响用户的密码之前，先移除可疑的外部 MFA 提供商及其相关的应用、密钥和重定向 URI。

组织还应监控 Authentication Methods Policy 的变更，限制常设的 Global Administrator 和 Authentication Policy Administrator 权限，并使用 FIDO2 或 Windows Hello for Business 等抗网络钓鱼的认证方式。