Una agresiva campaña de password spraying dirigida a entornos de Microsoft 365 ha generado más de 81 millones de intentos de inicio de sesión en solo dos semanas, aprovechando fallos en la configuración de las políticas de acceso condicional.
En el panorama actual de la ciberseguridad, confiar en la simple implementación de la Autenticación Multifactor (MFA) ya no es suficiente. Una reciente campaña de ataques descubierta por la firma de ciberseguridad gestionada Huntress lo ha demostrado de manera alarmante: los actores de amenazas están eludiendo el MFA de Microsoft 365 mediante el uso de credenciales robadas y fallos de configuración.
Entre el 12 y el 26 de junio, los investigadores observaron más de 81 millones de intentos de inicio de sesión y confirmaron la vulneración de al menos 78 cuentas de Microsoft distribuidas en 64 organizaciones. El pico de actividad se registró el 22 de junio, cuando se vieron afectadas 30 identidades en 23 empresas distintas.
¿Cómo están eludiendo el MFA los atacantes?
El actor de la amenaza está utilizando combinaciones de nombres de usuario y contraseñas que fueron expuestas en brechas de datos pasadas y que nunca fueron rotadas. Para validar estas credenciales, los atacantes no están usando el portal web convencional, sino la interfaz de línea de comandos (CLI) de Azure.
El vector de ataque clave es el uso del flujo OAuth ROPC (Resource Owner Password Credentials). ROPC es un tipo de concesión de OAuth 2.0 (obsoleto en OAuth 2.1) que permite enviar el usuario y la contraseña directamente al punto de conexión /token para obtener un token de acceso.
El gran problema de ROPC es que no admite flujos de autenticación modernos como MFA o SSO. Por lo tanto, si las políticas de seguridad de la empresa no están configuradas para bloquear explícitamente este flujo, el atacante entra sin que se le solicite ningún segundo factor de autenticación.
El peligro de las «Malas CAP» (Políticas de Acceso Condicional)
Muchas de las organizaciones comprometidas habían implementado MFA a través de Políticas de Acceso Condicional (CAP). Sin embargo, la configuración dejaba «agujeros» por los que los atacantes se colaron. Las principales configuraciones incorrectas detectadas por Huntress incluyen:
- MFA aplicada solo a aplicaciones específicas: Las organizaciones exigían MFA para portales de administración, pero no para «todas las aplicaciones en la nube», dejando fuera a los inicios de sesión de Azure CLI.
- MFA aplicada solo a grupos seleccionados: El MFA se exigía para los administradores, pero las cuentas de usuarios estándar comprometidas estaban fuera del alcance de esta política.
- Exclusión de ubicaciones de confianza: El MFA se configuró para requerirse solo desde ubicaciones «no confiables». Los atacantes utilizaron direcciones IP que el sistema de geolocalización identificó erróneamente como provenientes de EE. UU. (aunque en realidad provenían de China), eludiendo el control.
- Políticas en «modo de solo informe»: Algunas organizaciones tenían las políticas creadas, pero configuradas para no aplicarse, solo para monitorear.
- Ausencia total de MFA: En ocho de las empresas afectadas, directamente no existía ninguna política de ayuda macrofinanciera o MFA.
El origen del ataque: LSHIY LLC
La inmensa mayoría de este tráfico malicioso proviene de un rango de direcciones IPv6 (2a0a:d683::/32) que pertenece a LSHIY LLC (AS32167), un proveedor de infraestructura de internet.
Curiosamente, LSHIY tiene direcciones físicas registradas en fábricas en Hong Kong y Wuhan (China), y una oficina compartida en Nueva York. Los investigadores de Huntress comunicaron los hallazgos a LSHIY a través de su portal de abuso, pero hasta el momento no han recibido respuesta.
En los últimos seis meses, Huntress ha observado un aumento de más del 155% en este tipo de ataques de pulverización de credenciales, promediando casi 2.000 intentos fallidos de inicio de sesión por inquilino cada mes.
Guía de Mitigación: Cómo proteger tu entorno
Este ataque demuestra que las CAPs mal configuradas son tan peligrosas como no tenerlas. Para evitar que tu organización sea la próxima víctima, desde cibersecurity.io recomendamos tomar las siguientes medidas:
- Configuración de CAP estricta: Exige MFA (o bloquea el acceso) para Todos los Usuarios, Todas las aplicaciones en la nube y Todos los tipos de aplicaciones cliente, de forma incondicional.
- Bloquear el flujo ROPC: Utiliza la configuración de acceso condicional fuerte (
userStrongAuthClientAuthNRequired). Esto obliga a la autenticación fuerte a nivel de cliente y bloquea los flujos ROPC, haciendo que este tipo de ataque fracase. - Restringir Azure CLI: Limita el uso de la aplicación Azure CLI exclusivamente a usuarios administradores que la necesiten para tareas de gestión.
- Rotación de contraseñas: Si tienes usuarios cuyas credenciales han aparecido en filtraciones anteriores, oblígalos a cambiarlas de inmediato. El éxito de este ataque se basa en contraseñas antiguas que siguen vigentes.
- Ajuste de alertas: No configures tus alertas de seguridad basándote solo en el volumen de intentos fallidos (lo que indicaría los inquilinos más atacados). Prioriza la alerta basada en la validez de las credenciales.
Conclusión: El MFA sigue siendo una herramienta fundamental en la ciberseguridad, pero no es una bala de plata. La configuración precisa de las políticas de acceso condicional es vital para asegurar que no existan «puertas traseras» por las que los atacantes puedan colarse con credenciales robadas.
