Malware puede abusar de claves de Windows Hello para empresas para obtener acceso persistente a Entra ID
Análisis CyberFlows
Esta noticia importa porque resalta la vulnerabilidad de los sistemas de autenticación biométrica y la importancia de la seguridad en la nube. Los atacantes pueden utilizar técnicas de malware para obtener acceso no autorizado a recursos de la nube, lo que representa una amenaza significativa para las empresas que confían en la autenticación de Windows Hello para empresas. Los profesionales de seguridad deben estar al tanto de esta amenaza y tomar medidas para proteger sus sistemas y datos en la nube. La técnica utilizada por el malware se centra en la explotación de la confianza en la autenticación de Windows Hello para empresas, lo que subraya la necesidad de una seguridad más robusta en la autenticación y la autorización.
Acciones recomendadas: Revisar y actualizar las políticas de autenticación y autorización en la nube | Implementar soluciones de detección y respuesta de amenazas avanzadas | Capacitar a los usuarios sobre las mejores prácticas de seguridad y la importancia de la autenticación segura
Análisis editorial de CyberFlows. Las acciones recomendadas son orientación general; evalúa siempre tu contexto específico.
Resumen
Un investigador de Entra ID demostró que el malware puede utilizar silenciosamente la clave de Windows Hello para empresas de una sesión de Windows iniciada para autenticar a Microsoft Entra ID. Esto permite al atacante establecer un acceso a la nube a largo plazo y registrar un dispositivo bajo su control. La amenaza se centra en la capacidad del malware para obtener un Token de Actualización Primario (PRT) y agregar métodos de autenticación adicionales.
Entra ID researcher Dirk-jan Mollema demonstrated that malware already running in a signed-in Windows session can silently use the victim's Windows Hello for Business key to authenticate to Microsoft Entra ID. The attacker can then establish longer-term cloud access, register a device it controls, obtain a Primary Refresh Token (PRT), and add further authentication methods where tenant policies