OAuth Consent Phishing ken Panangikkat kadagiti Makadangran a Pammalubos ti Third-Party App¶

Panunotem a matakuatanmo nga aktibo a basbasaen ti maysa a manangraut dagiti pribado nga emailmo, ag-download kadagiti dokumentom iti ulep, mangparnuay kadagiti naulimek a pagannurotan iti panangipatulod iti inbox, wenno mangiposte kadagiti scam link manipud iti account-mo, uray KALPASAN a binaliwam laeng ti password-mo iti 24-karakter a random string ken napalubosan ti hardware Two-Factor Authentication (2FA / Passkeys). Kasano nga adda pay laeng ti attacker iti uneg ti Google Workspace, Microsoft 365, GitHub, Slack, wenno Discord account-mo a dina ammo ti baro a password-mo wenno mangtignay iti maymaysa a 2FA prompt? Gapu ta nabiktimaka iti OAuth 2.0 Consent Phishing (ammo pay a kas Illicit Consent Grant wenno Device Code Phishing). Imbes nga allilawennaka a mangi-type iti password-mo iti peke a login page, nangipatulod kenka ti manangraut iti link iti pudno accounts.google.com wenno login.microsoftonline.com authorization screen nga agsalsaludsod no adda app a nainaganan "PDF Document Viewer," "eSign Security Check," "Zoom Meeting Recorder," wenno "Mail Backup Assistant" mabalin nga addaan iti pammalubos a "Basaen, mangbukel, mangipatulod, ken permanente a mangikkat iti amin nga emailmo manipud iti Gmail" wenno "Addaan iti naan-anay a panagserrek kadagiti amin a file nga addaanka iti akses."

Ti kanito a nag-click-ka ** .Allow** wenno Accept iti dayta pudno a Microsoft wenno Google dialog box, ti mangipapaay ti pakabigbigan ket nangipaulog iti server ti manangraut iti napaut ti panagbiagna a cryptographic ** .OAuth Refresh Token** (offline_access). Gapu ta dagiti token ti OAuth 2.0 API ket direkta a mangpaneknek a maibusor kadagiti backend REST/Graph API (graph.microsoft.com wenno gmail.googleapis.com) naan-anay nga agwaywayas iti sesionmo iti web ti tao, ti panangbalbaliw iti password-mo wenno pananginayon iti 2FA ket masansan a mangbaybay-a kadagiti dakes a third-party app grants iti 100 a porsiento nga aktibo. Tapno maikandado ti manangraut iti agnanayon, masapul a manual nga ibabawi ti third-party application grant, patayem amin a naipaulog nga OAuth refresh ken access tokens, ken purge ti ania man a backdoors a pinartuat ti app bayat nga addaan daytoy iti API access.

--- .

Aramidenyo daytoy ita¶

1. Maawatan a dagus no apay a ti panangbalbaliw iti password-mo ket SAAN a nangpasardeng iti hacker: masapul nga i-revoke-mo ti Third-Party App / OAuth Consent Grant iti uneg ti account security portal-mo. No i-click-mo Allow iti maysa nga iskrin ti OAuth, mangpartuat ka ti agtultuloy a kontrata ti makina-iti-makina nga API (Service Principal / OAuth App Token). Direkta a mapan iti panid ti Third-Party Apps & Services ti mangipapaaymo ita (myaccount.google.com/connections para iti Google, . myapps.microsoft.com wenno account.live.com/consent/Manage para iti Microsoft, . github.com/settings/applications para iti GitHub) ken i-klik ti Ikkaten ti Access / Revoke iti tunggal aplikasion a dimo 100 a porsiento a mabigbig ken pagtalkan.
2. No nag-typeka iti 8-wenno-9-karakter nga alphanumeric code iti microsoft.com/devicelogin, . google.com/device, wenno github.com/login/device bayat ti phishing call wenno chat, i-revoke nga agpada ti Active Device Sessions KEN OAuth App Grants dagus. Iti maysa a Device Code Flow Phishing Attack (RFC 8628), ti manangraut ket mangpataud iti smart-TV/CLI pairing code iti kompiuterda ket allilawennaka a mangi-type iti dayta a code iti real microsoft.com/devicelogin panid. Ti panangi-type iti dayta a kodigo ket mangted iti manangraut iti kangrunaan a ** .Refresh Token (PRT / . Multi-Resource Refresh Token)** nakabalkot a kas katutubo a kliyente ti Microsoft Office, Azure CLI, wenno Apple Internet Accounts.
3. Kalpasan a ma-revoke ti malicious OAuth app, dagus nga auditem ti Email-mo Forwarding Rules, . Inbox Filters, ken Delegated Mailbox Access babaen ti Graph/Gmail UI. Ania ti umuna unay nga aramiden ti dakes nga OAuth app iti umuna 500 milliseconds kalpasan nga i-click-mo Allow? Usarenna ti... Mail.ReadWrite wenno MailboxSettings.ReadWrite API scope tapno mangi-inject iti di makita a server-side inbox rule nga auto-forwards ti tunggal sumsumrek a banko, crypto, wenno password-reset email iti manangraut ken mangiruta kadagiti sungbat a diretso iti mo Trash wenno RSS Feeds folder (kitaen ti Na-hack ti email account: pagannurotan ti panagipatulod ken panagsubli).
4. Sukimaten no ti dakes nga OAuth app ket nakarehistro iti maikadua a backup nga OAuth app, Personal Access Token (PAT), SSH Key, wenno pamay-an ti MFA bayat nga addaan daytoy kadagiti administratibo a sakup. Iti Microsoft Entra ID (Azure AD), GitHub, ken Google Workspace, ti maysa nga app ket nangited kadagiti sakup ti direktorio wenno panagmanehar ti kuenta (Application.ReadWrite.All, . RoleManagement.ReadWrite.Directory, wenno GitHub admin:public_key) ket mabalin a siuulimek a mangpartuat ti maikadua a nailemmeng nga API token wenno prinsipal ti serbisio isu a ti manangraut ket agtalinaed ti access kalpasan ti panangikkatmo iti umuna nga app.
5. No napasamak daytoy iti maysa a korporasion wenno pagadalan Microsoft 365 wenno Google Workspace account, tawagam ti IT Security / SOC Helpdesk-mo iti uneg ti 5 a minuto. Maymaysa nga empleado ti ag-click Accept iti maysa nga OAuth phishing link ket mabalinna nga ipaay ti maysa nga attacker read access iti intero a kompania ti SharePoint, OneDrive, Teams chats, ken Global Address List, a mangirugi iti akin-uneg a Panagkompromiso ti Email ti Negosio (BEC) wire-fraud attack kadagiti katrabahuam ken kliyente.
6. No ti manangraut ket nagusar ti OAuth access tapno makitana dagiti cloud drive-yo (Google Drive / . OneDrive), tax returns, password exports, wenno financial statements, i-freeze-mo dagiti credit file-mo ken i-lock down-mo dagiti financial accounts. No naidulin dagiti sensitibo a dokumento ti pakabigbigan wenno saan a na-encrypt a seed phrases/password iti cloud drive a naserrek ti OAuth app, tratuem ti tunggal file iti dayta a drive kas in-download ti manangraut (kitaen Data breach response ken panagruar ti password).

flowchart TD
    A["Maipagarup a Panag-Phishing ti Pammalubos ti OAuth wenno Agtultuloy a Panagserrek ti Kuenta Kalpasan ti Panag-reset ti Password"] --> B["1. Luktan ti Portal ti Pammalubos ti App ti Maikatlo a Partido (Dagiti Koneksyon ti Google / Microsoft MyApps / Dagiti Aplikasion ti GitHub) ."]
    B --> C["2. I-screenshot dagiti di pamiliar nga apps para iti ebidensia, kalpasanna i-click ti ‘Revoke / Remove Access’ iti tunggal mapagduaduaan nga OAuth App"]
    C --> D{"Inserrekmo kadi ti kodigo iti panid ti Panaglogin ti Alikamen (e.g., microsoft.com/devicelogin)?"}
    D -->|"Wen: Panag-phishing ti Kodigo ti Alikamen (RFC 8628) ."| E["Ipatungpal ti 'Agpirma iti Sadinoman / Iwaksi Amin a Token ti Panagpabaro' tapno patayen dagiti katutubo a sesion ti CLI / Kodigo ti Alikamen"]
    D -->|"Saan: Pagalagadan a Web OAuth Grant"| E
    E --> F["3. Audit & Delete Dagiti Segundario a Backdoors a Naparsua babaen ti API Token"]
    F --> G["I-check dagiti Paglintegan ti Inbox ti Email, Auto-Forwarding, & Delegated Access (Gmail / Outlook) ."]
    F --> H["Sukimaten dagiti Personal a Token ti Panagserrek ti Developer (PATs), Dagiti Tulbek ti SSH, & Dagiti Panagtipon ti Webhook"]
    F --> I{"Daytoy kadi ket maysa a Korporado a Microsoft 365 / Google Workspace Account?"}
    I -->|"Wen"| J["Dagus nga alertuan ti Enterprise Admin / SOC a mangikkat iti ServicePrincipal Grant iti Entra ID / Workspace Admin"]
    I -->|"Saan (Personal nga Kuenta) ."| K["Baliwan ti password + Beripikar dagiti alikamen ti MFA + Sukimaten dagiti Log ti Aktibidad ti Panag-download ti Cloud Drive"]

--- .

Kasano a ti OAuth 2.0 Consent Phishing ket mangliklik kadagiti password ken 2FA (Technical Anatomy) .¶

Apay nga addaan kadagiti sindikato ti cybercriminal, dagiti grupo ti panagespia ti estado-nasion (Midnight Blizzard, . Star Blizzard), ken dagiti cryptocurrency drainers ket nagbalbaliw unay manipud iti tradisional a peke-login a phishing aginggana iti OAuth Consent Phishing ken Device Code Phishing?

1. Tradisional a Phishing vs. OAuth Pammalubos Phishing vs. Device Code Phishing¶

2. Nangato ti Peligro nga OAuth Permission Scopes Kiddaw dagiti Manaraut¶

No sukimatem ti maysa nga app iti listaan dagiti pammalubosmo, kitaem a naimbag dagiti sakup a kiniddawna: * Grapo ti Microsoft (Entra ID / Microsoft 365 / Outlook.com): * Mail.Read, . Mail.ReadWrite, . Mail.Send, . MailboxSettings.ReadWrite (Palubosan ti panangbasa kadagiti amin nga email, panangipatulod kadagiti email a kas kenka, ken panagaramid kadagiti nailemmeng a pagannurotan ti panagipatulod ti inbox). * Files.Read.All, . Files.ReadWrite.All, . Sites.ReadWrite.All (Ipalubosna ti panangi-download iti tunggal file iti OneDrive-mo ken tunggal nabingbingay a folder ti SharePoint ti korporasion). * offline_access (Palubosan ti server ti manangraut a siuulimek a mang-mint kadagiti brand-new Access Tokens 24/7 uray no naiddep ti kompiuteryo). * Directory.ReadWrite.All, . AppRoleAssignment.ReadWrite.All, . User.ReadWrite.All (Dagiti sakup ti panagpangato ti pribilehio ti didigra ti empresa). * Espasyo ti Pagtrabahuan ti Google / Personal a Gmail (Google APIs): * https://mail.google.com/ wenno gmail.modify / . gmail.settings.basic / . gmail.settings.sharing (Naan-anay a kontrol ti panagbasa, panangikkat, ken panangipatulod iti Gmail). * https://www.googleapis.com/auth/drive (Naan-anay a read/write/download access iti tunggal file iti Google Drive-mo). * https://www.googleapis.com/auth/cloud-platform (Naan-anay a panangtengngel iti imprastruktura ken panagsingil ti Google Cloud). * Dagiti Ekosistema ti GitHub & Developer (GitHub Apps / . OAuth Apps): * repo ken workflow (Naan-anay a panagbasa/panagsurat a panagserrek kadagiti amin a pribado a pagidulinan ti taudan-kodigo ken pammalubos a mangi-inject kadagiti dakes a tubo a mangtakaw kadagiti sekreto ti GitHub Actions CI/CD). * admin:org, . admin:public_key, ken admin:gpg_key (Pammalubos a manginayon kadagiti agtultuloy a tulbek ti backdoor SSH wenno mangbalbaliw ti pannakaikameng ti organisasion). * Slack & Discord Dagiti Sakup ti OAuth: * Slack ti channels:history, . groups:history, . im:history, . files:read, ken chat:write (Palubosan ti maysa nga akinruar nga app a mangbasa kadagiti amin a direkta a mensahe ti pribado a grupo, mang-scrape kadagiti nai-upload a PDF ken kredensial, ken mangipatulod kadagiti phishing link nga agpammarang a mapagtalkan a katrabahuan). * Di panagtutunos guilds.join ken identify (Palubosan ti nakompromiso a bot wenno verification portal a puersado a makikadua iti Discord account-mo kadagiti scam servers a maulit-ulit nga awan ti pammalubosmo).

--- .

Phase 1: Addang-addang a pannakaikkat ti OAuth & Third-Party App para iti tunggal kangrunaan a plataporma¶

Suroten dagiti eksakto nga addang iti baba para iti tunggal account a nakai-klikmo iti mapagduaduaan a silpo, nagusarka iti "Sign in with Google / Microsoft / Apple / GitHub / Discord" iti di mapagtalkan a site, wenno nadlawmo ti di autorisado nga aktibidad.

1. Kuenta ti Google (Personal Gmail & . Google Workspace) .¶

1. Luktam ti browser ken direkta a mapan iti: https://myaccount.google.com/connections (wenno mapan iti myaccount.google.com -> i-klik ti Security iti kannigid a menu -> i-scroll nga agpababa iti Dagiti koneksionmo kadagiti third-party apps & services -> i-klik ti Kitaen amin a koneksion).
2. Filter by Risk: I-click ti filter chip iti ngato nga addaan iti etiketa Access to your Google Account (a mangsala kadagiti saan a makadangran a "Sign in with Google" a nagan-laeng a panaglogin ken mangitag-ay kadagiti app nga addaan iti aktibo a pammalubos ti API a mangbasa iti Gmail, Google Drive, Kalendario, wenno Kontakmo).
3. I-click ti tunggal di pamiliar, mapagduaduaan, wenno saanen a maus-usar nga app (agannad kadagiti makaallilaw a nagan a mangtulad kadagiti utilidad ti sistema a kas iti "Google Docs Viewer," "PDF Converter," "Email Cleaner," "eFax," wenno "Drive Backup").
4. I-scroll nga agpababa iti Kitaen dagiti detalye tapno makita ti eksakto a petsa ken oras a naited ti akses ken no ania dagiti sakup (Gmail, . Google Drive) ti iggemna.
5. I-click ti ** .Delete all connections you have with [App Name]** -> I-click ti Pasingkedan.
6. Ibabawi pay dagiti Aktibo a Sesion ti Alikamen (Para iti Panag-phishing ti Kodigo ti Alikamen): Mapan iti https://myaccount.google.com/device-activity ken ag-sign out iti aniaman a di pamiliar a sesion ti Linux, Windows, Mac, wenno Smart TV device.

2. Personal ti Microsoft (Outlook.com / Hotmail / Live / Xbox) vs. Korporado (Microsoft 365 / Entra ID) .¶

Ti Microsoft ket agus-usar ti dua a nagduduma a portal depende no ti account-mo ket personal nga account ti konsumidor wenno maysa nga account ti trabaho/eskuelaan:

A. Dagiti Personal nga Kuenta ti Microsoft ( .@outlook.com, . @hotmail.com, . @live.com) .¶

1. Direkta a mapan iti: https://account.live.com/consent/Manage (wenno mapan iti account.microsoft.com/privacy -> Apps ken serbisio a makastrek iti datam).
2. Sukimaten ti tunggal aplikasion a nailista. No adda makitam nga app a dimo mabigbig (wenno lehitimo ti uni a kliyente a kas eM Client, . Thunderbird, wenno Mail App nga dimo pulos in-install ti bagim, ti gagangay a trick nga us-usaren dagiti manangraut tapno makagun-od kadagiti token ti IMAP/Graph OAuth), i-click ti ** .Edit** iti baba dayta nga app ken i-click ti ** .Remove these permissions**.
3. Sumaruno, mapan iti ** .https://account.microsoft.com/security** -> Imanehar no kasano ti ag-sign in -> ag-scroll nga agpababa ken i-click ti ** .Sign me out** (a mangpilit iti sangalubongan a pannakabalin iti ballasiw ti amin a browser, apps, ken sesion ti Xbox/OneDrive iti uneg ti 24 nga oras).

B. Korporado / Trabaho / Eskuelaan Microsoft 365 & . Microsoft Entra ID (Azure AD)¶

1. Kas Indibidual nga Empleado nga Agus-usar:
2. Mapan iti ** .https://myapps.microsoft.com** -> I-click ti profile icon-mo wenno ti gear icon -> I-click ti Profile wenno i-click ti tallo a tulnek (...) iti ania man a di pamiliar nga app tile -> Pilien ti Imanehar ti aplikasionmo -> Iwaksi dagiti pammalubos.
3. Mapan met iti ** .https://myaccount.microsoft.com** -> Security info -> paneknekan nga awan ti nainayon a rogue Authenticator app, ken i-klik ti Sign out everywhere iti baba ti tab a Overview.
4. Kas maysa nga Administrador ti Microsoft 365 / Entra ID (Emergency PowerShell Token & Panagpurga ti Pammalubos): No ti maysa nga empleado ket matnag iti OAuth Consent Phishing wenno Device Code Phishing iti maysa nga agnaed ti empresa, saan nga umdas ti basta panangikkat iti app manipud iti MyApps portal ti agus-usar; masapul nga i-revoke ti maysa nga admin ti OAuth2PermissionGrant iti ballasiw ti tenant ken invalidate ti user's RefreshTokensValidFromDateTime babaen ti Microsoft Graph PowerShell:

# Connect to Microsoft Graph with Directory & Delegated Permission Grant Administrator privileges:
Connect-MgGraph -Scopes "User.ReadWrite.All", "Directory.ReadWrite.All", "DelegatedPermissionGrant.ReadWrite.All", "Application.ReadWrite.All"

# 1. Inspect all OAuth2 Delegated Permission Grants for the compromised user:
$User = Get-MgUser -UserId "victim@yourdomain.com"
Get-MgUserOauth2PermissionGrant -UserId $User.Id | Format-List Id, ClientId, ConsentType, Scope, ResourceId

# 2. Immediately delete the malicious OAuth2PermissionGrant by its Grant Id:
Remove-MgOauth2PermissionGrant -OAuth2PermissionGrantId "<Grant-ID-From-Step-1>"

# 3. Remove the malicious Enterprise Application (ServicePrincipal) from the entire tenant so no other employee is affected:
Remove-MgServicePrincipal -ServicePrincipalId "<Malicious-ClientId-ObjectId>"

# 4. Revoke ALL active OAuth Refresh Tokens and Continuous Access Evaluation (CAE) sessions for the user immediately:
Revoke-MgUserSignInSession -UserId $User.Id

--- .

3. GitHub, Slack, Discord, Mansanas (Sign in with Apple), ken X / Dagiti Kuenta ti Sosial¶

Dagiti manangraut ket nadagsen a puntiriada dagiti developer, komunidad, ken sosial nga account babaen ti OAuth phishing tapno mangiduron kadagiti dakes a kodigo a panagkumit, mang-drain kadagiti komunidad ti Discord, wenno mangiposte kadagiti silpo ti cryptocurrency drainer:

--- .

Phase 2: Panaganup para iti segundario a panagibtur a nabati ti dakes nga OAuth app¶

1. Dagiti Paglintegan ti Inbox ti Email, Auto-Forwarder, ken Dagiti Paglintegan ti Nalimed a Panagwalis (Gmail & . Outlook / M365) .¶

No ti dakes nga OAuth app ket addaan Mail.ReadWrite wenno MailboxSettings.ReadWrite dagiti pammalubos: * Iti Gmail: I-click ti Gear Icon (ngato a kannawan) -> Kitaen amin a settings. 1. I-click ti ** .Forwarding and POP/IMAP** tab -> Beripikar dayta Forwarding ket naikabil iti Disable forwarding ken awan ti nailista a di pamiliar nga email address. 2. I-click ti ** .Filters and Blocked Addresses** tab -> Kitaen ti aniaman a filter a maitunos from:(*) wenno keywords a kas iti bank, . wire, . invoice, . coinbase, . password, wenno security nga addaan iti tignay ** .Delete it, ** .Skip the Inbox (Archive it), wenno ** .Forward it to** -> I-delete a dagus dagita a filter. 3. I-click ti ** .Accounts and Import** tab -> Iti baba ti Grant access to your account (Delegated access) ken Ipatulod ti koreo kas, ikkaten ti aniaman a di pamiliar nga adres. * Iti Microsoft nga Outlook Web (outlook.office.com wenno outlook.live.com): I-click ti Gear Icon (ngato a kannawan) -> Mail. 1. I-click ti ** .Rules** -> Buraken ti tunggal di pamiliar a pagannurotan (masansan a manginaganan dagiti manangraut kadagiti dakes a pagannurotan . wenno ... wenno Security Sync ken i-configure dagitoy tapno iyakar dagiti sumsumrek nga email iti RSS Subscriptions wenno Conversation History folder bayat ti panangmarka kadagitoy a kas Basaen). 2. I-click ti ** .Forwarding** (ken Junk email) -> Siguraduen a saan a na-check ti Enable forwarding, ken i-delete ti ania man a attacker domain a nainayon iti listaan ti Safe senders and domains.

2. Cloud Drive Mass-Download Audit & "Silpo-Panagbibinninglay" Backdoors (Google Drive & . OneDrive / SharePoint) .¶

Apaman a ti maysa nga OAuth app ket addaan Files.ReadWrite.All wenno drive scope, dua a banag ti aramidenna: umuna, i-downloadna dagiti sensitibo a PDF, spreadsheet, ken password file-mo; maikadua, mabalinna a siuulimek a baliwan dagiti pammalubos ti panagbingbingay kadagiti kompidensial a foldermo iti ** ."Anyone with the link can view/edit"** isu a mabalin latta a luktan ti manangraut dagita a folder iti di nainaganan a browser uray kalpasan nga i-revoke-mo ti OAuth app. * Iti Google Drive: I-click ti ** .(i) View Details (Activity) icon** iti ngato a kannawan a suli tapno makita ti tunggal file a nakita, nabaliwan, wenno naibinglay iti napalabas a 7 nga aldaw. Kalpasanna, i-type ti ** .is:unorganized, ** .sharedwith:public, wenno ** .sharedwith:external** iti ngato a Google Drive search bar tapno masarakan ti aniaman a file wenno folder nga inaramid ti manangraut a mabalin a mastrek ti publiko. * Iti Microsoft OneDrive: Mapan iti Shared -> Shared by you tab iti kannigid a menu ken ibabawi ti aniaman a publiko a silpo (Anyone with the link) saanmo a pinarsua.

3. Iskrip ti Google Apps (script.google.com) & Microsoft Bileg Automatiko (make.powerautomate.com) Dagiti mangtignay¶

Adtoy ti persistence trick a nausar maibusor kadagiti agus-usar iti Google ken Microsoft 365: bayat nga adda iti uneg ti account-mo, ti maysa a manangraut ket mangparnuay iti 10-line a Google Apps Script (iti https://script.google.com/home/triggers) wenno maysa a Microsoft Power Automate Cloud Flow (iti https://make.powerautomate.com) naikeddeng nga agtaray iti 5-minuto a timer (Time-driven trigger wenno When a new email arrives). Gapu ta dayta nga script ket agtaray a natively iti uneg ti bukodmo nga cloud account, agtultuloy nga i-exfiltrate-na dagiti email-mo iti tunggal 5 a minuto uray kalpasan a baliwam ti password-mo ken i-delete-mo dagiti external apps. * Lumakad ** .https://script.google.com/home/triggers** (para iti Google) wenno https://make.powerautomate.com -> Dagiti panagayusko (para iti Microsoft 365) ita ken i-delete ti aniaman nga iskrip wenno automated flow a dimo personal nga insurat.

4. Panag-audit kadagiti Log ti Panag-audit ti Ulep para iti Panag-eksfiltrasion ti Datos (Google Takeout, . Entra Sign-In Logs, & . Unified Audit Log) .¶

No kasapulam nga ammuen no ania dagiti eksakto nga email wenno file a binasa wenno in-download ti dakes nga aplikasion ti OAuth bayat nga aktibo ti token-na: * Iti Personal a Google Accounts: Luktan https://myactivity.google.com ken ** .https://myaccount.google.com/notifications** tapno sukimaten dagiti nabiit pay a pasamak ti seguridad ken kitaen no ti Google Takeout nga archive export ket kiniddaw. * Iti Google Workspace (Admin Console): Mapan iti ** .admin.google.com -> Reporting -> Audit and investigation -> OAuth log events** ken ** .Drive log events** nasala babaen ti nakompromiso nga agus-usar ken ti malicious Client ID tapno makaala ti kompleto a timestamped a listaan ti tunggal maysa nga ID ti file a naserrek. * Iti Microsoft 365 (Purview / . Entra ID): Lumakad ** .entra.microsoft.com -> Identity -> Monitoring & health -> Sign-in logs, i-click ti ** .Non-interactive user sign-ins ken ** .Service principal sign-ins** tab (dagiti gagangay nga Interactive Sign-In logs ket SAAN nga ipakita dagiti background OAuth token refreshes), ken salaen babaen ti dakes a panggep Application ID tapno makita ti tunggal IP address ken resource call nga inaramid ti attacker.

5. Panagturong kadagiti Naibutaktak a Sekreto a Masarakan iti Uneg ti Cloud Drive wenno Email-mo¶

No ti dakes nga OAuth app ket addaan iti access kadagiti Gmail, Outlook, Google Drive, OneDrive, wenno GitHub repositories-mo iti uray 60 a segundo, ipapanmo a ti manangraut ket nangipataray iti automated regex scraper iti ballasiw ti mailbox ken drive-mo a mangsapsapul: 1. Dagiti Rasag ti Bukel ti Cryptocurrency (12/24-word BIP-39 mnemonics) wenno Wallet .json Keystores: No ti retrato wenno dokumento a naglaon iti crypto seed phrase ket adda iti cloud drive wenno email-mo, iyakar amin a pondo iti brand-new hardware wallet seed a dagus (kitaen Cryptocurrency wallet drain ken bukel ti ragup ti sasao a panagkompromiso). 2. Nai-export nga Manager ti Password .csv Dagiti File wenno Tax Returns (Form 1040 / W-2): I-rotate dagiti password-mo ken i-freeze dagiti credit bureau-mo (Equifax, . Experian, . TransUnion) dagus. 3. Dagiti Tulbek ti API ti Developer (AWS_SECRET_ACCESS_KEY, . Stripe, . OpenAI, . GitHub PATs, . .env files): Iwaksi ken i-roll ti tunggal sekreto ti imprastruktura ti ulep a nagparang kadagiti emailmo, mensahe ti Slack, wenno dokumento ti ulep.

--- .

Listaan ​​ti tsek ti pananglapped: panangpasardeng iti OAuth & Device Code phishing a permanente¶

• Dika pulos ipalubos ti external app a napno Read/Write Email wenno Full Cloud Drive pammalubos tapno laeng makita ti maymaysa a PDF, awis ti kalendario, wenno utilidad: Ti lehitimo a silpo ti panagkita ti dokumento ket saan a pulos a kasapulan ti pammalubos a "Basaen, mangbukel, mangipatulod, ken permanente a mangikkat amin nga emailmo manipud iti Gmail." No ti di ninamnama nga iskrin ti pammalubos ti OAuth ket agkiddaw kadagiti nalawa a sakup ti kahon ti koreo wenno drive, iserram a dagus ti tab.
• Dika pulos ag-type a Device Login Code (microsoft.com/devicelogin wenno google.com/device) nga impatulod kenka ti sabali a tao iti email, teksto, wenno chat: Dagiti kodigo ti alikamen (RFC 8628) ket nainget para kadagiti hardware screen agtugtugaw a pisikal iti sanguanam iti isu met laeng a kuarto (kas iti bukodmo a salas nga Apple TV wenno bukodmo nga SSH terminal). No adda sabali a mangpataud iti device code ket kiddawenna nga i-type-mo dayta, i-log-mo ti kompiuterda iti *account-mo.
• Para kadagiti Microsoft 365 / Google Workspace Admins: I-disable ti End-User OAuth App Consent ken I-Block ti Agayus ti Kodigo ti Alikamen babaen ti Kondisional a Panagserrek:
• Iti Sentro ti Admin ti Microsoft Entra (entra.microsoft.com) -> Panakabigbig -> Aplikasion -> Dagiti aplikasion ti empresa -> Pammalubos ken pammalubos -> Dagiti panagitunos ti pammalubos ti agar-aramat, agsubli manipud iti Palubosan ti pammalubos ti agar-aramat para kadagiti app aginggana iti Do not allow user consent (ken pagayatan ti Admin Consent Workflow tapno dagiti empleado ket i-klikda ti "Request Approval" imbes a mangipaay kadagiti rogue apps iti access).
• Iti Konsola ti Admin ti Lugar ti Trabaho ti Google (admin.google.com) -> Seguridad -> Panangtengngel ti akses ken datos -> Dagiti kontrol ti API -> Imanehar ti Third-Party App Access, mangikeddeng kadagiti nangato a peggad a sakup (Gmail, . Drive) agingga iti ** .Trusted: Can only access Google data if explicitly allowlisted by an admin**.
• Mangaramid ti Entra ID a Kondisional a Patakaran ti Panagserrek a manglapped ti ** .Device Code Flow** pamay-an ti panagiyakar ti panangipaneknek para kadagiti amin a saan a developer nga agar-aramat.

--- .

Masansan a maisaludsod¶

Apay a saan a ti panangbalbaliw iti password-ko ken pananglukat iti Two-Factor Authentication (2FA) ti nangparuar iti dakes nga OAuth app?¶

Dagiti Password ken Two-Factor Authentication ti mangbantay laeng iti ruangan iti sango no sumrek ti tao babaen ti login screen. No i-click-mo `Allow` iti maysa nga OAuth 2.0 a pammalubos a panagkiddaw, ibilinmo ti Google, Microsoft, GitHub, wenno Discord a mangipaulog iti kriptograpiko `Refresh Token` direkta iti server dayta a third-party application tapno makapagtrabaho ti app iti background bayat nga offline-ka. Babaen ti disenio ti arkitektura, adu a plataporma ket mangipalubos kadagiti autorisado a panagtipon ti maikatlo a partido (kas dagiti ramit ti panagsinkronisa ti kalendario, serbisio ti backup, wenno dagiti konektor ti CRM) tapno agtultuloy nga agtaray iti ballasiw dagiti gagangay a panagiturong ti password malaksid no nalawag a mapanka iti panidmo kadagiti Koneksyon ti App ti Maikatlo a Partido ken i-klikmo ti **Ibabawi / Ikkaten ti Access**.

Kasano a maipakita ti maysa nga OAuth phishing link accounts.google.com wenno login.microsoftonline.com nga addaan iti pudno nga HTTPS padlock no maysa dayta a scam?¶

Iti panangraut ti OAuth Consent Phishing, saan nga agaramid ti kriminal iti peke a website; imbes ketdi, irehistroda ti libre nga aplikasion ti developer iti uneg ti Google Cloud wenno Microsoft Azure (a mangala iti 2 a minuto) ken mangipatulodda kenka iti pudno a Google wenno Microsoft authorization link a naglaon kadagiti app’s-da `client_id`. Gapu ta bisitaem ti pudno a login server ti Google wenno Microsoft, 100 a porsiento nga autentiko ti domain name ken SSL certificate. Ti panangallilaw ket adda iti **siasino ti makinkukua iti third-party app name** a dumawat iti pammalubos apaman a makalog-in-ka; panag-click `Allow` ibagana iti pudno a Google wenno Microsoft server nga itedna ti datam iti rehistrado a developer app ti kriminal.

Ania ti "Phishing ti Kodigo ti Alikamen" (microsoft.com/devicelogin), ken apay a napeggad unay dayta?¶

Ti OAuth 2.0 a Grant ti Autorisasion ti Alikamen (`RFC 8628`) ket naparsua tapno mabalinmo ti ag-sign in kadagiti alikamen nga awan ti web browser wenno keyboard, kas iti Smart TV wenno command-line interface (CLI): ti TV ket mangiparang iti 8-karakter a code ken ibagana kenka a manglukat `microsoft.com/devicelogin` iti teleponom ket iserrekmo dayta a code. Iti panangraut ti Device Code Phishing, ti maysa a hacker ket agpataray iti iskrip (`TokenTactics` wenno `RoadTools`) iti bukodda a kompiuter tapno mangpataud iti baro a 8-karakter a kodigo, kalpasanna i-email wenno mensahe kenka iti Teams/Slack a mangibagbaga a masapul nga iserrekmo dayta a kodigo iti `microsoft.com/devicelogin` tapno makita ti natalged a dokumento wenno paneknekam ti account-mo. Iti maikadua nga i-type-mo ti code-da iti pudno a site ti Microsoft, i-log ti Microsoft ti kompiuter ti hacker a diretso iti account-mo nga addaan iti naan-anay a Multi-Factor Authentication claims a napnekdan.

Napeggad kadi ti standard a "Sign in with Google" wenno "Sign in with Apple" no ti popup ket agkiddaw laeng iti Nagan ken Email Address-ko?¶

Pagalagadan nga OpenID nga Pagkonekta (`OIDC`) "Sign in iti Google / Apple / Microsoft" ket mangibagbaga a **laeng** agkiddaw iti kangrunaan a profile-mo (`Name`, . `Email address`, ken `Profile picture`) ket talaga a nataltalged nga amang ngem ti panangi-type iti password iti baro a website, gapu ta ti third-party website ket pulos a dina makita ti password-mo ken awan ti maawatna a pannakagun-od kadagiti email wenno file-mo. Mapasamak laeng ti peggad no ti popup ti pammalubos ket agkiddaw kadagiti **dagiti kanayonan a sensitibo a sakup ti API**, kas ti *"Basaen, buklen, ipatulod, ken permanente nga ibura amin nga emailmo,"* *"Kitaen, i-edit, parnuayen, ken ibura amin dagiti file-mo iti Google Drive,"* wenno *"Makikadua kadagiti serbidor para kenka."* Kanayon a basaem ti nabullet a listaan ​​dagiti pammalubos iti iskrin ti pammalubos sakbay nga i-klik ti Ituloy.

--- .

Mainaig a giya¶

• MFA phishing ken ti Kabusor-iti-Tengnga (AiTM) a bypass
• Ti panag-hijack ti cookie ti sesion, infostealer malware, ken pannakaikkat ti passkey
• Na-hack ti email account: pagannurotan ti panagipatulod ken panagsubli
• Kompromiso ti Email ti Negosio ti Korporasion (BEC) ken wire fraud recall
• Dagiti dakes nga ekstension ti browser, dagiti clipboard hijacker, ken panangikkat ti adware
• Sangalubongan a numero ti emerhensia

--- .

Nasukimat dagiti gubuayan¶

• Ahensia ti Seguridad ti Cybersecurity ken Imprastruktura (CISA) & Pederal nga Opisina ti Imbestigasion (FBI) (Estados Unidos): Nagkaykaysa a Balakad ti Cybersecurity kadagiti Maiparit nga OAuth Consent Grants, Device Code Phishing (RFC 8628), ken Panagtakaw iti Token ti Identity ti Ulep.
• Ti Puersa ti Aramiden ti Inhenieria ti Internet (IETF) (Internasional): RFC 6749 (Ti Balangkas ti Autorisasion ti OAuth 2.0), RFC 7009 (OAuth 2.0 a Panagikkat ti Token), ken RFC 8628 (Dagiti Konsiderasion ti Seguridad ti Panagted ti Autorisasion ti Alikamen ti OAuth 2.0).
• Microsoft Threat Intelligence & Microsoft Entra Security Engineering (Internasional): Libro ti Playbook ti Sungbat ti Insidente para kadagiti Madangran nga Aplikasion ti OAuth (OAuth2PermissionGrant) ken Panag-Phishing ti Kodigo ti Alikamen iti Microsoft Entra ID.
• Google Cloud & Google Workspace Security (Internasional): Panagpaneknek ti Sakup ti API ti OAuth 2.0, Panagturay ti Panagserrek ti App ti Maikatlo a Partido, ken Arkitektura ti Panagikkat ti Token.
• Nailian a Sentro ti Seguridad ti Cyber ​​(NCSC) (Nagkaykaysa a Pagarian): Panangiwanwan iti Panangdepensa kadagiti Agnaed iti Ulep Maibusor iti OAuth Consent Phishing ken Delegated API Abuse.