T1098.005 - Регистрация устройства

Техники:  T1098 , T1098.001 , T1098.002 , T1098.003 , T1098.004 , T1098.005 , T1098.006 , T1098.007

Злоумышленники могут зарегистрировать устройство в контролируемой злоумышленниками учетной записи. Устройства могут быть зарегистрированы в системе многофакторной аутентификации (MFA), которая управляет аутентификацией в сети, или в системе управления устройствами, которая управляет доступом к устройствам и соблюдением требований.

Системы MFA, такие как Duo или Okta, позволяют пользователям ассоциировать устройства со своими учетными записями, чтобы выполнить требования MFA. Злоумышленник, скомпрометировавший учетные данные пользователя, может зарегистрировать новое устройство, чтобы обойти первоначальные требования MFA и получить постоянный доступ к сети.(Цитата: CISA MFA PrintNightmare)(Цитата: DarkReading FireEye SolarWinds) В некоторых случаях процесс самостоятельной регистрации MFA может потребовать только имя пользователя и пароль для регистрации первого устройства в учетной записи или для регистрации устройства в неактивной учетной записи. (Цит. по: Mandiant APT29 Microsoft 365 2022)

Аналогично, злоумышленник, имеющий доступ к сети, может зарегистрировать устройство в Entra ID и/или системе управления устройствами Microsoft Intune, чтобы получить доступ к конфиденциальным данным или ресурсам в обход политик условного доступа.(Цитата: AADInternals - Device Registration)(Цитата: AADInternals - Conditional Access Bypass)(Цитата: Microsoft DEV-0537)

Устройства, зарегистрированные в Entra ID, могут проводить Internal Spearphishing кампании через внутриорганизационные электронные письма, которые с меньшей вероятностью будут расценены почтовым клиентом как подозрительные.(Цитата: Microsoft - Device Registration) Кроме того, злоумышленник может осуществить Service Exhaustion Flood на арендатора Entra ID, зарегистрировав большое количество устройств.(Цитата: AADInternals - BPRT)

https://attack.mitre.org/techniques/T1098/005

← Назад

Визуализация смежных техник для T1098.005