神漏洞:一张GIF图片就能劫持你的微软Team工作账号

发布日期:2020-04-30 浏览次数: 8563 次

CyberArk 研究人员发现有攻击者利用 Microsoft Teams 的子域名接管漏洞,只需一张 gif 就可以获取用户的数据,并劫持 Teams 账户。在攻击中,用户只要受到恶意 gif 文件,需要分享,就会受到影响。

Teams

Microsoft Teams 是一款基于聊天的智能团队协作工具,可以同步进行文档共享,并为成员提供包括语音、视频会议在内的即时通讯工具。Teams 的一个优势是可以融合在 office 365 中。

Microsoft Teams

研究人员指出,在分析 Teams 平台后发现,每当打开时,Teams 客户端就会创建一个新的临时令牌或访问令牌。该访问令牌的形式是 JWT,是由微软授权和认证服务器 login.microsoftonline.com创建的。除了这个初始访问令牌外,还为 Teams 创建了其它令牌,其中一些令牌用于访问多种服务如 SharePoint 和 Outlook等。

”authtoken” 和 “skypetoken_asm” 两个 cookie 用于限制内容访问权限。Skype 令牌被发送至 teams.microsoft.com 及其子域名,易受子域名接管影响。研究人员表示,“如果攻击者能够强迫用户访问已遭接管的子域名,则受害者浏览器会将该 cookie 发送到攻击者服务器,而攻击者收到 authtoken 后可以创建一个 Skype 令牌。之后,攻击者能够窃取受害者的 Teams 账户数据。”

 Teams 攻击流

然而,攻击链较为复杂,因为攻击者有必要向受陷子域名颁发证书,仅通过向某具体路径上传文件的方式“证实”所有权。由于子域名已易受攻击,这种困难已不存在,新认证的攻击者向子域名发送恶意链接或向平台发送 .GIF 文件,可导致生成的令牌攻陷受害者的 Teams 会话。只要查看该图片,就可导致不止一个人受影响。

CyberArk 公司已发布 PoC,演示了攻击的发生过程,并发布可用于搜刮 Teams 会话的脚本。该公司指出,“新冠肺炎强迫很多公司不得不全职远程工作,导致使用 Teams 及类似平台的用户数量上涨。即使攻击者无法从 Teams 账户收集很多信息,但他们也可使用该账户遍历整个组织机构。”

Poc地址:https://fast.wistia.com/embed/medias/f4b25lcyzm

 窃取的信息

研究人员根据协作漏洞披露 (CVD) 计划向微软安全响应中心报告研究成果。CyberArk 公司在3月23日将问题告知微软公司,后者更正了触发账户接管所需的两个子域名的 DNS 错误配置记录。4月20日,微软还发布补丁,缓解未来类似的安全漏洞风险。

一名微软发言人表示,“我们已和研究人员按照CVD 计划解决了本博客中提到的问题。虽然尚未发现该技术遭在野利用的证据,但我们已采取多种措施确保客户的安全。”

 

转自:黑白之道

分享到:
×

微信扫一扫分享

XML 地图 | Sitemap 地图