Skip to content

La pesca de consentiment d'OAuth i la revocació de permisos d'aplicacions de tercers maliciosos

Imagineu-vos que descobriu que un atacant està llegint activament els vostres correus electrònics privats, descarregant els vostres documents al núvol, creant regles de reenviament silenciosos de la safata d'entrada o publicant enllaços d'estafa des del vostre compte, fins i tot DESPRÉS d'haver canviat la contrasenya a una cadena aleatòria de 24 caràcters i activat l'autenticació de dos factors de maquinari (2FA / Passkeys). Com és un atacant encara dins del vostre compte de Google Workspace, Microsoft 365, GitHub, Slack o Discord sense saber la vostra nova contrasenya ni activar una sol·licitud de 2FA? Perquè has estat víctima d'OAuth 2.0 Consent Phishing (també conegut com a Consentiment il·lícit o Device Code Phishing). En lloc d'enganyar-vos perquè escriviu la vostra contrasenya en una pàgina d'inici de sessió falsa, l'atacant us va enviar un enllaç a una pàgina real. accounts.google.com o login.microsoftonline.com pantalla d'autorització que demana si s'anomena una aplicació "PDF Document Viewer," "eSign Security Check," "Zoom Meeting Recorder," o "Mail Backup Assistant" podria tenir permís per "Llegir, redactar, enviar i suprimir permanentment tots els vostres correus electrònics de Gmail" o "Tindre accés complet a tots els fitxers als quals teniu accés."

El moment en què vas fer clic Allow o Accept en aquest quadre de diàleg genuí de Microsoft o Google, el proveïdor d'identitat va emetre al servidor de l'atacant un criptogràfic de llarga vida OAuth Refresh Token (offline_access). Com que els testimonis de l'API OAuth 2.0 s'autentiquen directament contra les API REST/Graph de backend (graph.microsoft.com o gmail.googleapis.com) de manera completament independent de la vostra sessió web humana, canviar la contrasenya o afegir 2FA sovint deixa les subvencions d'aplicacions de tercers malicioses al 100% actives. Per bloquejar definitivament l'atacant, heu de revocar manualment la concessió de l'aplicació de tercers, eliminar tots els testimonis d'accés i d'actualització d'OAuth emesos i purgar les portes posteriors creades per l'aplicació mentre tenia accés a l'API.

Fes això ara

  1. Entengueu immediatament per què canviar la vostra contrasenya NO va aturar el pirata informàtic: heu de revocar el Third-Party App / OAuth Consent Grant dins del portal de seguretat del vostre compte. Quan feu clic Allow en una pantalla d'OAuth, creeu un contracte d'API permanent de màquina a màquina (Service Principal / OAuth App Token). Aneu directament a la pàgina Aplicacions i serveis de tercers del vostre proveïdor ara mateix (myaccount.google.com/connections per a Google, myapps.microsoft.com o account.live.com/consent/Manage per a Microsoft, github.com/settings/applications per a GitHub) i feu clic a Elimina l'accés/Revoca a totes les aplicacions que no reconeixeu i no confieu al 100%.
  2. Si heu introduït un codi alfanumèric de 8 o 9 caràcters microsoft.com/devicelogin, google.com/device, o github.com/login/device durant una trucada de pesca o xat, revoqueu tots dos Active Device Sessions I OAuth App Grants immediatament. En un atac de phishing de flux de codi de dispositiu (RFC 8628), l'atacant genera un codi d'aparellament de smart-TV/CLI al seu ordinador i t'enganya perquè escriviu aquest codi a la pantalla real. microsoft.com/devicelogin pàgina. Si teclegeu aquest codi, l'atacant dóna un ** principalRefresh Token (PRT / Multi-Resource Refresh Token)** disfressat com a client natiu de Microsoft Office, Azure CLI o Apple Internet Accounts.
  3. Després de revocar l'aplicació OAuth maliciosa, auditeu immediatament el vostre correu electrònic Forwarding Rules, Inbox Filters, i Delegated Mailbox Access mitjançant la interfície d'usuari de Graph/Gmail. Què és el primer que fa una aplicació OAuth maliciosa al primer moment? 500 milliseconds després de fer clic Allow? Fa servir el Mail.ReadWrite o MailboxSettings.ReadWrite Àmbit de l'API per injectar una regla invisible de la safata d'entrada del costat del servidor que reenvia automàticament tots els correus electrònics entrants de banc, criptografia o restabliment de la contrasenya a l'atacant i encamina les respostes directament al vostre Trash o RSS Feeds carpeta (vegeu Compte de correu electrònic piratejat: regles de reenviament i recuperació).
  4. Comproveu si l'aplicació OAuth maliciosa ha registrat una segona aplicació OAuth de seguretat, el testimoni d'accés personal (PAT), SSH Key o MFA mentre tenia àmbits administratius. A Microsoft Entra ID (Azure AD), GitHub i Google Workspace, una aplicació va concedir àmbits de gestió de comptes o de directoris (Application.ReadWrite.All, RoleManagement.ReadWrite.Directory, o GitHub admin:public_key) pot crear silenciosament un segon testimoni de l'API o un principal de servei perquè l'atacant hi tingui accés després de suprimir la primera aplicació.
  5. Si això va passar en una empresa o escola Microsoft 365 o Google Workspace compte, truqueu al vostre servei d'assistència informàtica/SOC en 5 minuts. Un sol empleat fa clic Accept en un enllaç de pesca OAuth pot concedir a un atacant accés de lectura a SharePoint, OneDrive, xats d'equips i a la llista global d'adreces de tota l'empresa, llançant un compromís intern de correu electrònic empresarial (BEC) atac de frau electrònic contra els vostres companys de feina i clients.
  6. Si l'atacant va utilitzar l'accés OAuth per veure les vostres unitats al núvol (Google Drive / OneDrive), les declaracions d'impostos, les exportacions de contrasenyes o els estats financers, congeleu els vostres fitxers de crèdit i bloquegeu els comptes financers. Si s'emmagatzemaven documents d'identitat confidencials o frases inicials o contrasenyes sense xifrar a la unitat de núvol a la qual ha accedit l'aplicació OAuth, tracteu tots els fitxers d'aquesta unitat com a descarregats per l'atacant (vegeu Resposta a la violació de dades i filtracions de contrasenyes).
flowchart TD
    A["Sospita de pesca de consentiment d'OAuth o intrusió persistent al compte després del restabliment de la contrasenya"] --> B["1. Obriu el portal de permisos d'aplicacions de tercers (Google Connections/Microsoft MyApps/Aplicacions GitHub)"]
    B --> C["2. Feu una captura de pantalla d'aplicacions desconegudes per trobar proves i, a continuació, feu clic a 'Revoca/Elimina l'accés' a cada aplicació OAuth sospitosa"]
    C --> D{"Heu introduït un codi a una pàgina d'inici de sessió del dispositiu (p. ex., microsoft.com/devicelogin)?"}
    D -->|"Sí: pesca de codi de dispositiu (RFC 8628)"| E["Executeu 'Tancar la sessió a tot arreu / Revoca tots els testimonis d'actualització' per matar les sessions natives CLI / Codi de dispositiu"]
    D -->|"No: Web estàndard OAuth Grant"| E
    E --> F["3. Auditoria i eliminació de les portes posteriors secundàries creades pel testimoni API"]
    F --> G["Comproveu les regles de la safata d'entrada del correu electrònic, el reenviament automàtic i l'accés delegat (Gmail/Outlook)"]
    F --> H["Comproveu els testimonis d'accés personal del desenvolupador (PAT), les claus SSH i les integracions de Webhook"]
    F --> I{"Era un compte corporatiu de Microsoft 365/Google Workspace?"}
    I -->|"Sí"| J["Aviseu immediatament a l'administrador de l'empresa/SOC per revocar la subvenció de ServicePrincipal a Entra ID/Administrador de l'espai de treball"]
    I -->|"No (compte personal)"| K["Canvia la contrasenya + Verifiqueu els dispositius MFA + Comproveu els registres d'activitat de descàrrega de Cloud Drive"]

Per què els sindicats cibercriminals, els grups d'espionatge de l'estat-nació (Midnight Blizzard, Star Blizzard), i els drenatges de criptomoneda van passar molt de la pesca tradicional d'inici de sessió fals a Phishing per consentiment d'OAuth i Phishing del codi del dispositiu?

1. Phishing tradicional vs. Phishing per consentiment OAuth vs. Phishing amb codi de dispositiu

Vector d'atac Què veu i fa clic la víctima Per què els antivirus, les claus de pas i les comprovacions d'URL del navegador no poden aturar-lo Com l'atacant manté la persistència
1. Credencial clàssica / AiTM Phishing (cobert a MFA phishing i bypass AiTM) La víctima fa clic en un domini fals (login-micros0ft-support.com) i escriu el seu nom d'usuari, contrasenya i codi MFA de 6 dígits. S'han aturat al 100% per les claus de seguretat de maquinari i les claus de seguretat de maquinari FIDO2/WebAuthn (YubiKey), que uneixen criptogràficament l'autenticació amb el nom de domini real. Galeta robada de sessió del navegador (ESTSAUTH / SID), que mor tan bon punt l'usuari fa clic a "Tanca la sessió a tot arreu" o restableix la seva contrasenya.
2. Concessió de consentiment d'aplicacions OAuth 2.0 maliciós (Illicit Consent Phishing) La víctima fa clic en un enllaç que la porta al 100% autèntic accounts.google.com o login.microsoftonline.com domini. Com que l'usuari ja ha iniciat la sessió (o inicia sessió amb la seva clau d'accés/YubiKey real al domini real), apareix un quadre de permisos: "L'aplicació [DocuSign Viewer] vol accedir al vostre compte -> [Permetre]." Omet les claus de pas i 2FA completament. Perquè l'URL de la barra d'adreces és legítim google.com o microsoft.com, el vostre navegador, el vostre gestor de contrasenyes i YubiKey us autentiquen feliçment i, a continuació, feu clic voluntàriament Allow per lliurar un testimoni d'API a l'OAuth registrat de l'atacant client_id. El proveïdor d'identitat envia un authorization_code a la de l'atacant redirect_uri, que l'atacant intercanvia per un Access Token (1 hour) més un OAuth Refresh Token (offline_access) que es manté vàlid durant mesos o indefinidament, sobrevivent als canvis de contrasenya en moltes plataformes.
3. OAuth 2.0 Device Authorization Grant Phishing (RFC 8628 Flux de codi del dispositiu) L'atacant envia un correu electrònic, un missatge d'equips o un codi QR dient: "Per veure aquest document de recursos humans segur/unir-se a aquesta reunió, obriu https://microsoft.com/devicelogin i introduïu el codi B7X-99K-2PL." De nou, microsoft.com/devicelogin és l'URL oficial i real de Microsoft (dissenyat per iniciar la sessió a Apple TV, Xbox i eines de línia d'ordres sense teclat). No hi ha cap domini maliciós per bloquejar un tallafoc. En el moment que escriviu B7X-99K-2PL i feu clic Continue, Microsoft vincula la vostra sessió autenticada directament al terminal d'espera de l'atacant (Token Endpoint polling), atorgant a l'atacant un ** principal completRefresh Token** com a aplicació de confiança de primera part (Microsoft Office o Azure CLI).

2. Sol·licitud dels atacants d'àmbits de permís OAuth d'alt perill

Quan inspeccioneu una aplicació a la vostra llista de permisos, mireu de prop els àmbits que va sol·licitar: * Microsoft Graph (Entra ID / Microsoft 365 / Outlook.com): * Mail.Read, Mail.ReadWrite, Mail.Send, MailboxSettings.ReadWrite (Permet llegir tots els correus electrònics, enviar-los com tu i crear regles de reenviament de la safata d'entrada ocultes). * Files.Read.All, Files.ReadWrite.All, Sites.ReadWrite.All (Permet descarregar tots els fitxers del vostre OneDrive i totes les carpetes corporatives compartides de SharePoint). * offline_access (Permet que el servidor de l'atacant engegui en silenci fitxes d'accés noves les 24 hores del dia, fins i tot quan l'ordinador estigui apagat). * Directory.ReadWrite.All, AppRoleAssignment.ReadWrite.All, User.ReadWrite.All (Àmbits d'escalada de privilegis empresarials catastròfics). * Google Workspace/Gmail personal (Google APIs): * https://mail.google.com/ o gmail.modify / gmail.settings.basic / gmail.settings.sharing (Control total sobre la lectura, la supressió i el reenviament de Gmail). * https://www.googleapis.com/auth/drive (Accés complet de lectura/escriptura/descàrrega a tots els fitxers del vostre Google Drive). * https://www.googleapis.com/auth/cloud-platform (Control total sobre la infraestructura i la facturació de Google Cloud). * GitHub i ecosistemes de desenvolupadors (GitHub Apps / OAuth Apps): * repo i workflow (Accés complet de lectura/escriptura a tots els dipòsits privats de codi font i permís per injectar canalitzacions de robatori de secrets CI/CD d'Accions GitHub malicioses). * admin:org, admin:public_key, i admin:gpg_key (Permís per afegir claus SSH de porta posterior persistent o modificar la pertinença a l'organització). * Àmbits OAuth de Slack i Discord: * Faux channels:history, groups:history, im:history, files:read, i chat:write (Permet que una aplicació externa llegeixi tots els missatges directes de l'equip privat, esborri PDF i credencials penjats i enviï enllaços de pesca fent passar per un company de feina de confiança). * Discòrdia guilds.join i identify (Permet que un bot o un portal de verificació compromès s'uneixi a la força al vostre compte de Discord als servidors d'estafa repetidament sense el vostre consentiment).

Fase 1: revocació d'aplicacions d'OAuth i de tercers pas a pas per a totes les plataformes principals

Seguiu els passos exactes que s'indiquen a continuació per a cada compte en què heu fet clic en un enllaç sospitós, heu utilitzat "Inicieu la sessió amb Google/Microsoft/Apple/GitHub/Discord" en un lloc no fiable o heu detectat activitat no autoritzada.

1. Compte de Google (Personal Gmail & Google Workspace)

  1. Obriu un navegador i aneu directament a: https://myaccount.google.com/connections (o aneu a myaccount.google.com -> feu clic a Seguretat al menú de l'esquerra -> desplaceu-vos cap avall fins a Les vostres connexions amb aplicacions i serveis de tercers -> feu clic a Mostra totes les connexions).
  2. Filtra per risc: fes clic al xip de filtre a la part superior etiquetat Access to your Google Account (que filtra els inicis de sessió inofensius "Inicieu la sessió amb Google" només per nom i destaca les aplicacions que tenen permisos API actius per llegir el vostre Gmail, Google Drive, Calendar o Contactes).
  3. Feu clic a totes les aplicacions desconegudes, sospitoses o que ja no s'utilitzen (compte amb noms enganyosos que imiten utilitats del sistema com ara "Google Docs Viewer," "PDF Converter," "Email Cleaner," "eFax," o "Drive Backup").
  4. Desplaceu-vos cap avall fins a Mostra els detalls per veure la data i l'hora exactes que es va concedir l'accés i quins àmbits (Gmail, Google Drive) aguanta.
  5. Feu clic Delete all connections you have with [App Name] -> Feu clic a Confirmar.
  6. També revoca les sessions actives del dispositiu (per a la pesca de codi del dispositiu): Aneu a https://myaccount.google.com/device-activity i tanqueu la sessió de qualsevol sessió de dispositiu Linux, Windows, Mac o Smart TV desconegut.

2. Microsoft Personal (Outlook.com / Hotmail / Live / Xbox) vs. Corporatiu (Microsoft 365 / Entra ID)

Microsoft utilitza dos portals diferents segons si el vostre compte és un compte de consumidor personal o un compte de treball o escola:

A. Comptes personals de Microsoft (@outlook.com, @hotmail.com, @live.com)

  1. Aneu directament a: https://account.live.com/consent/Manage (o aneu a account.microsoft.com/privacy -> Aplicacions i serveis que poden accedir a les teves dades).
  2. Inspeccioneu totes les aplicacions enumerades. Si veieu alguna aplicació que no reconegueu (o un client que soni legítim com eM Client, Thunderbird, o Mail App que mai no heu instal·lat, un truc comú utilitzat pels atacants per obtenir fitxes IMAP/Graph OAuth), feu clic a Edit sota aquesta aplicació i feu clic a Remove these permissions.
  3. A continuació, aneu a https://account.microsoft.com/security -> Gestiona com inicio la sessió -> desplaça't cap avall i fes clic a Sign me out (que obliga a una invalidació global de tots els navegadors, aplicacions i sessions de Xbox/OneDrive en un termini de 24 hores).

B. Empresa / Treball / Escola Microsoft 365 & Microsoft Entra ID (Azure AD)

  1. Com a usuari empleat individual:
  2. Vés a https://myapps.microsoft.com -> Feu clic a la icona del vostre perfil o a la icona d'engranatge -> Feu clic a Perfil o feu clic als tres punts (...) en qualsevol fitxa d'aplicació desconeguda -> Seleccioneu Gestiona la vostra aplicació -> Revoca els permisos.
  3. També aneu a https://myaccount.microsoft.com -> Informació de seguretat -> verifiqueu que no s'ha afegit cap aplicació d'autenticació canalla i feu clic a Sign out everywhere a la pestanya Visió general.
  4. Com a administrador de Microsoft 365 / Entra ID (emergència PowerShell Token & Consent Purge): Quan un empleat cau per phishing per consentiment d'OAuth o phishing amb codi de dispositiu en un inquilí empresarial, no n'hi ha prou amb eliminar l'aplicació del portal MyApps de l'usuari; un administrador ha de revocar el OAuth2PermissionGrant a través del llogater i invalidar el de l'usuari RefreshTokensValidFromDateTime mitjançant Microsoft Graph PowerShell:
# Connect to Microsoft Graph with Directory & Delegated Permission Grant Administrator privileges:
Connect-MgGraph -Scopes "User.ReadWrite.All", "Directory.ReadWrite.All", "DelegatedPermissionGrant.ReadWrite.All", "Application.ReadWrite.All"

# 1. Inspect all OAuth2 Delegated Permission Grants for the compromised user:
$User = Get-MgUser -UserId "victim@yourdomain.com"
Get-MgUserOauth2PermissionGrant -UserId $User.Id | Format-List Id, ClientId, ConsentType, Scope, ResourceId

# 2. Immediately delete the malicious OAuth2PermissionGrant by its Grant Id:
Remove-MgOauth2PermissionGrant -OAuth2PermissionGrantId "<Grant-ID-From-Step-1>"

# 3. Remove the malicious Enterprise Application (ServicePrincipal) from the entire tenant so no other employee is affected:
Remove-MgServicePrincipal -ServicePrincipalId "<Malicious-ClientId-ObjectId>"

# 4. Revoke ALL active OAuth Refresh Tokens and Continuous Access Evaluation (CAE) sessions for the user immediately:
Revoke-MgUserSignInSession -UserId $User.Id

3. GitHub, Slack, Discord, Apple (Sign in with Apple), i X / Comptes Socials

Els atacants s'orienten molt als comptes de desenvolupadors, comunitats i socials amb la pesca d'OAuth per impulsar les confirmacions de codi maliciós, drenar comunitats de Discord o publicar enllaços de drenatge de criptomoneda:

Plataforma URL directe per auditar i revocar aplicacions o fitxes OAuth Portes posteriors ocultes crítiques per comprovar a la mateixa pàgina
GitHub https://github.com/settings/applications Comproveu les TRES pestanyes d'aquesta pàgina: 1. Installed GitHub Apps,2. Authorized GitHub Apps, i 3. Authorized OAuth Apps. A continuació, comproveu immediatament https://github.com/settings/tokens (Elimineu qualsevol tipus de gra fi o clàssic Personal Access Tokens) i https://github.com/settings/keys (Elimineu les claus SSH desconegudes).
Discòrdia Obriu Configuració de l'usuari (icona d'engranatge) -> Aplicacions autoritzades Busqueu qualsevol bot o aplicació que tingui el perill Join servers for you (guilds.join), Access your email address, o Read messages abast. Feu clic al botó vermell Desautorització de cada entrada desconeguda.
Full Obert https://my.slack.com/apps/manage (Directori d'aplicacions d'espai de treball -> Gestiona) Cerqueu Webhooks entrants personalitzats recentment instal·lats, Slash Commands o aplicacions OAuth de tercers que contenen channels:history, files:read, o chat:write àmbits i feu clic a Elimina l'aplicació.
** ID d'Apple (Sign in with Apple)** iPhone: Settings -> [Your Name] -> Sign-In & Security -> Sign in with Apple
Web: appleid.apple.com -> Sign-In and Security -> Sign in with Apple		 Seleccioneu qualsevol aplicació o lloc web desconegut i toqueu Stop Using Apple ID.
X (Twitter) / Meta (Facebook / Instagram) / LinkedIn X: Settings and privacy -> Security and account access -> Apps and sessions -> Connected apps
Facebook: Settings -> Apps and websites		 Quan un compte verificat de X/Twitter o d'Instagram publica de sobte una estafa de lliurament d'aire o de regal de criptografia falsa sense canviar la contrasenya del propietari, el 95% de les vegades és una aplicació OAuth connectada amb Read and Write permisos. Feu clic a Revoca els permisos de l'aplicació immediatament.

Fase 2: a la recerca de la persistència secundària deixada per l'aplicació OAuth maliciosa

Danger

La revocació de l'aplicació OAuth atura les futures trucades d'API des d'aquesta aplicació, però NO desfer les trampes que l'aplicació ja va plantar dins del vostre compte mentre hi tenia accés. Kits automatitzats de pesca d'OAuth (EvilProxy, Tycoon 2FA, scripts de gràfics personalitzats) executeu un script posterior a l'explotació en 2 segons després de rebre el vostre testimoni OAuth. Has de comprovar les cinc ubicacions de persistència just després de revocar l'aplicació:

1. Regles de la safata d'entrada de correu electrònic, reenviadors automàtics i regles d'escombrat ocult (Gmail & Outlook / M365)

Si l'aplicació OAuth maliciosa tenia Mail.ReadWrite o MailboxSettings.ReadWrite permisos: * A Gmail: fes clic a la icona d'engranatge (a dalt a la dreta) -> Mostra tota la configuració. 1. Feu clic al Forwarding and POP/IMAP pestanya -> Comproveu-ho Forwarding està establert a Desactiva el reenviament i no hi ha cap adreça de correu electrònic desconeguda. 2. Feu clic al Filters and Blocked Addresses pestanya -> Cerqueu qualsevol filtre que coincideixi from:(*) o paraules clau com bank, wire, invoice, coinbase, password, o security amb l'acció Delete it, Skip the Inbox (Archive it), o Forward it to -> Suprimeix aquests filtres immediatament. 3. Feu clic al **Accounts and ImportPestanya ** -> A Concedeix accés al teu compte (Accés delegat) i Envia correu com a, elimina qualsevol adreça desconeguda. **A Microsoft Outlook Web (outlook.office.com o outlook.live.com Feu clic a la **Icona d'engranatge (a dalt a lareta) -> Correu. 1. Feu cliRules -> Suprimeix totes les regles desconegudes (els atacants solen anomenar regles malicioses . o ... o Security Sync i configureu-los per moure els correus electrònics entrants al fitxer RSS Subscriptions o Conversation History carpeta mentre els marqueu com a Llegits). 2. Feu clic Forwarding (i Junk email**) -> segureu-vos que Activa el reenviament** esgui desmarcat i suprimiu qualsevol domini de l'atacant afegit a la llista Remitents i dominis segurs.

2. Auditoria de descàrregues massives de Cloud Drive i portes posteriors de "Compartició d'enllaços" (Google Drive & OneDrive / SharePoint)

Una vegada que una aplicació OAuth té Files.ReadWrite.All o drive abast, fa dues coses: primer, baixa els vostres PDF, fulls de càlcul i fitxers de contrasenyes sensibles; en segon lloc, pot canviar silenciosament els permisos per compartir a les teves carpetes confidencials a "Anyone with the link can view/edit" perquè l'atacant encara pugui obrir aquestes carpetes en un navegador anònim fins i tot després de revocar l'aplicació OAuth. * A Google Drive: Feu clic a (i) Icona de visualització de detalls (activitat) a l'extrem superior dret per veure tots els fitxers visualitzats, modificats o compartits durant els darrers 7 dies. A continuació, escriviu is:unorganized, sharedwith:public, o sharedwith:external a la barra de cerca superior de Google Drive per trobar fitxers o carpetes que l'atacant hagi fet accessibles públicament. * A Microsoft OneDrive: aneu a la pestanya Compartit -> Compartit per tu al menú de l'esquerra i revoca qualsevol enllaç públic (Anyone with the link) no heu creat.

3. Google Apps Script (script.google.com) i Microsoft Power Automate (make.powerautomate.com) Disparadors

Aquí teniu un truc de persistència utilitzat contra els usuaris de Google i Microsoft 365: mentre està dins del vostre compte, un atacant crea un Google Apps Script de 10 línies (a https://script.google.com/home/triggers) o un Microsoft Power Automate Cloud Flow (a https://make.powerautomate.com) configurat per funcionar amb un temporitzador de 5 minuts (Time-driven trigger o When a new email arrives). Com que aquest script s'executa de manera nativa dins del vostre propi compte al núvol, continua exfiltrant els vostres correus electrònics cada 5 minuts fins i tot després de canviar la contrasenya i suprimir aplicacions externes. * Obert https://script.google.com/home/triggers (per a Google) o https://make.powerautomate.com -> Els meus fluxos (per a Microsoft 365) ara mateix i suprimiu qualsevol script o flux automatitzat que no hàgiu escrit personalment.

4. Auditoria dels registres d'auditoria del núvol per a l'exfiltració de dades (Google Takeout, Entra Sign-In Logs, & Unified Audit Log)

Si necessiteu saber exactament quins correus electrònics o fitxers va llegir o baixar l'aplicació OAuth maliciosa mentre el seu testimoni estava actiu: * Als comptes personals de Google: obert https://myactivity.google.com i https://myaccount.google.com/notifications per inspeccionar els esdeveniments de seguretat recents i comprovar si s'ha sol·licitat una exportació d'arxiu de Google Takeout. * A Google Workspace (Consola d'administració): Vés a admin.google.com -> Reporting -> Audit and investigation -> OAuth log events i Drive log events filtrat per l'usuari compromès i el maliciós Client ID per obtenir una llista completa amb marca de temps de cada identificador de fitxer a què s'ha accedit. * A Microsoft 365 (Purview / Entra ID): Obert entra.microsoft.com -> Identity -> Monitoring & health -> Sign-in logs, feu clic a Non-interactive user sign-ins i Service principal sign-ins pestanyes (els registres d'inici de sessió interactiu estàndard NO mostren les actualitzacions de testimoni d'OAuth en segon pla) i es filtren pel maliciós Application ID per veure totes les adreces IP i les trucades de recursos realitzades per l'atacant.

5. Rotació dels secrets exposats que es troben dins de la vostra unitat de núvol o correu electrònic

Si l'aplicació OAuth maliciosa va tenir accés als vostres dipòsits de Gmail, Outlook, Google Drive, OneDrive o GitHub fins i tot durant 60 segons, suposeu que l'atacant va executar un raspador d'expressió regular automàtic a la vostra bústia de correu i a la vostra unitat buscant: 1. Frases llavor de criptomoneda (12/24-word BIP-39 mnemonics) o Wallet .json Botigues de claus: si una foto o un document que conté una frase de llavor criptogràfica estava a la vostra unitat de núvol o correu electrònic, moveu tots els fons a una llavor de cartera de maquinari totalment nova immediatament (vegeu Drenatge de cartera de criptomoneda i compromís de frase llavor). 2. ** Gestor de contrasenyes exportat .csv Expedients o declaracions d'impostos (Form 1040 / W-2):** Gira les teves contrasenyes i congela les teves oficines de crèdit (Equifax, Experian, TransUnion) immediatament. 3. Claus de l'API del desenvolupador (AWS_SECRET_ACCESS_KEY, Stripe, OpenAI, GitHub PATs, .env fitxers): Revoqueu i enrotlleu tots els secrets de la infraestructura del núvol que hagin aparegut als vostres correus electrònics, missatges de Slack o documents al núvol.

Llista de comprovació de prevenció: aturar permanentment la pesca d'OAuth i el codi del dispositiu

  • Mai concediu una aplicació externa completa Read/Write Email o Full Cloud Drive permisos només per veure un PDF, una invitació del calendari o una utilitat: Un enllaç legítim de visualització de documents no necessita mai permís per "Llegir, redactar, enviar i suprimir permanentment tots els vostres correus electrònics de Gmail." Si una pantalla de consentiment d'OAuth inesperada demana abast de bústia o unitat ampli, tanqueu la pestanya immediatament.
  • No escriviu mai a Device Login Code (microsoft.com/devicelogin o google.com/device) que us ha enviat una altra persona en un correu electrònic, un missatge de text o un xat: Codis del dispositiu (RFC 8628) són estrictament per a pantalles de maquinari asseguts físicament davant teu a la mateixa habitació (com ara la teva pròpia sala d'estar Apple TV o el teu propi terminal SSH). Si algú genera un codi de dispositiu i us demana que l'escrigueu, esteu iniciant sessió el seu ordinador al vostre compte.
  • Per als administradors de Microsoft 365/Google Workspace: desactiveu el consentiment de l'aplicació OAuth de l'usuari final i bloquegeu el flux de codi del dispositiu mitjançant l'accés condicional:
  • A Microsoft Entra Admin Center (entra.microsoft.com) -> Identitat -> Aplicacions -> Aplicacions empresarials -> Consentiment i permisos -> Configuració del consentiment de l'usuari, canvieu de Permetre el consentiment de l'usuari per a les aplicacions a Do not allow user consent (i activeu el Flux de treball de consentiment de l'administrador perquè els empleats facin clic a "Sol·licita l'aprovació" en comptes de concedir accés a aplicacions fraudulentes).
  • A la Consola d'administració de Google Workspace (admin.google.com) -> Seguretat -> Accés i control de dades -> Controls de l'API -> Gestiona l'accés a aplicacions de tercers, estableix àmbits d'alt risc (Gmail, Drive) a Trusted: Can only access Google data if explicitly allowlisted by an admin.
  • Creeu una Política d'accés condicional d'Entra ID que bloquegi el Device Code Flow Mètode de transferència d'autenticació per a tots els usuaris que no siguin desenvolupadors.

Preguntes freqüents

Per què no canviar la meva contrasenya i activar l'autenticació de dos factors (2FA) no va expulsar una aplicació OAuth maliciosa?

Les contrasenyes i l'autenticació de dos factors només protegeixen la porta principal quan un humà inicia sessió a través d'una pantalla d'inici de sessió. Quan feu clic `Allow` en una sol·licitud de consentiment d'OAuth 2.0, indiqueu a Google, Microsoft, GitHub o Discord que emetin un criptogràfic `Refresh Token` directament al servidor d'aquesta aplicació de tercers perquè l'aplicació pugui funcionar en segon pla mentre esteu fora de línia. Pel disseny arquitectònic, moltes plataformes permeten que les integracions de tercers autoritzades (com ara eines de sincronització de calendari, serveis de còpia de seguretat o connectors CRM) continuïn funcionant amb les rotacions rutinàries de contrasenyes tret que aneu explícitament a la pàgina Connexions d'aplicacions de tercers i feu clic a **Revoca/Elimina l'accés**.

Com es podria mostrar un enllaç de pesca d'OAuth? accounts.google.com o login.microsoftonline.com amb un veritable cadenat HTTPS si era una estafa?

En un atac de pesca amb consentiment d'OAuth, el criminal no crea un lloc web fals; en lloc d'això, registren una aplicació de desenvolupador gratuïta dins de Google Cloud o Microsoft Azure (que triga 2 minuts) i us envien un enllaç d'autorització de Google o Microsoft genuí que conté l'aplicació de la seva aplicació. `client_id`. Com que esteu visitant el servidor d'inici de sessió real de Google o Microsoft, el nom de domini i el certificat SSL són 100 per cent autèntics. L'engany està en **qui és el propietari del nom de l'aplicació de tercers** que demana permís un cop inicieu la sessió; fent clic `Allow` diu al servidor real de Google o Microsoft que lliuri les vostres dades a l'aplicació de desenvolupador registrada del criminal.

Què és "Phishing del codi del dispositiu" (microsoft.com/devicelogin), i per què és tan perillós?

La concessió d'autorització de dispositiu OAuth 2.0 (`RFC 8628`) es va crear perquè pugueu iniciar la sessió en dispositius que no tenen un navegador web o teclat, com ara un Smart TV o una interfície de línia d'ordres (CLI): el televisor mostra un codi de 8 caràcters i us diu que l'obriu. `microsoft.com/devicelogin` al telèfon i introduïu aquest codi. En un atac de pesca de codi de dispositiu, un pirata informàtic executa un script (`TokenTactics` o `RoadTools`) al seu propi ordinador per generar un codi nou de 8 caràcters i, a continuació, us enviaran correus electrònics o missatges a Teams/Slack dient que heu d'introduir aquest codi a `microsoft.com/devicelogin` per veure un document segur o verificar el vostre compte. En el moment en què escriviu el seu codi al lloc real de Microsoft, Microsoft registra l'ordinador del pirata informàtic directament al vostre compte amb les reclamacions completes d'autenticació multifactor ja satisfetes.

És perillós "Iniciar sessió amb Google" o "Iniciar sessió amb Apple" estàndard si la finestra emergent només demana el meu nom i adreça electrònica?

Connexió OpenID estàndard (`OIDC`) "Inicieu la sessió amb Google/Apple/Microsoft" indica que **només** sol·liciteu el vostre perfil bàsic (`Name`, `Email address`, i `Profile picture`) són realment molt més segurs que escriure una contrasenya en un lloc web nou, perquè el lloc web de tercers mai veu la vostra contrasenya i no té accés als vostres correus electrònics o fitxers. El perill només es produeix quan la finestra emergent de consentiment demana **àmbits de l'API sensibles addicionals**, com ara *"Llegeix, redacta, envia i suprimeix permanentment tots els teus correus electrònics",* *"Consulta, edita, crea i suprimeix tots els teus fitxers de Google Drive"* o *"Uniu-vos als servidors per vosaltres."* Llegiu sempre la llista amb pics de permisos abans de fer clic a la pantalla de consentiment.

Guies relacionades

Fonts revisades

  • Agència de seguretat cibernètica i d'infraestructures (CISA) i Oficina Federal d'Investigacions (FBI) (Estats Units): Assessorament conjunt de ciberseguretat sobre subvencions il·lícites de consentiment d'OAuth, phishing de codi de dispositiu (RFC 8628) i Robatori de fitxes d'identitat al núvol.
  • Internet Engineering Task Force (IETF) (Internacional): RFC 6749 (The OAuth 2.0 Authorization Framework), RFC 7009 (OAuth 2.0 Token Revocation) i RFC 8628 (OAuth 2.0 Device Authorization Grant Security Considerations).
  • Microsoft Threat Intelligence i Microsoft Entra Security Engineering (Internacional): Llibre de jocs de resposta a incidents per a aplicacions OAuth malicioses (OAuth2PermissionGrant) i Phishing del codi del dispositiu a Microsoft Entra ID.
  • Google Cloud i Google Workspace Security (internacional): verificació de l'abast de l'API OAuth 2.0, governació d'accés a aplicacions de tercers i arquitectura de revocació de testimonis.
  • National Cyber ​​Security Center (NCSC) (Regne Unit): Guia per a la defensa dels inquilins del núvol contra la pesca de consentiment d'OAuth i l'abús de l'API delegada.