M365 Group Spoofed: причины и защита организации

M365 Group Spoofed: Как это произошло и как защитить вашу организацию

Введение: Обнаружение проблемы и ее потенциальное влияние

Представьте: вы приходите на работу в понедельник утром, открываете свой почтовый клиент и обнаруживаете десятки сообщений от коллег, которые жалуются на странные запросы, которые вы, как им кажется, отправляли в выходные. Они сообщают о необычных инструкциях по переводу средств, просьбах поделиться конфиденциальной информацией или запросах на доступ к критически важным ресурсам. Но вы ничего такого не отправляли.

Это не сценарий из фильма-триллера, а реальность для сотен организаций, столкнувшихся с новой и изощренной формой атаки: спуфингом групп в Microsoft 365. Проблема не просто раздражает — она может привести к финансовым потерям, утечке конфиденциальных данных и серьезному ущербу репутации. Недавнее исследование показало, что 78% организаций, столкнувшихся с подобными атаками, понесли финансовые потери, средний ущерб составил более $1.5 млн на пострадавшую организацию.

Что такое спуфинг групп в M365?

Спуфинг групп в Microsoft 365 — это форма атаки, при которой злоумышленники создают поддельные группы, которые выглядят как реальные группы вашей организации. Это позволяет им отправлять электронные письма от имени этих групп, что значительно повышает доверие получателей и увеличивает вероятность успешной фишинговой атаки.

Технически, атакующие используют уязвимости в аутентификации электронной почты и механизмах работы групп в M365. Ключевые аспекты спуфинга групп:

Эксплуатация разрешений на создание групп: По умолчанию в большинстве организаций пользователи могут создавать группы Microsoft 365 без дополнительного контроля, что позволяет злоумышленникам создавать поддельные группы с именами, похожими на реальные.
Использование внешних участников: Злоумышленники добавляют себя или соучастников в качестве внешних участников групп, что позволяет им отправлять письма от имени группы через Outlook или веб-интерфейс.
Управляемые группы identities: Когда группа создается, она получает собственный адрес электронной почты (например, group@yourdomain.onmicrosoft.com). Злоумышленники могут использовать этот адрес для отправки писем, которые проходят через Exchange Online и могут обойти базовые фильтры безопасности.
Проблемы с аутентификацией: В отличие от спуфинга отдельных пользователей, где SPF и DKIM помогают проверить подлинность, группы в M365 имеют более сложную аутентификационную модель, что создает возможности для злоумышленников.
Доверие к внутренним группам: Сотрудники автоматически доверяют сообщениям от внутренних групп, снижая бдительность при взаимодействии с такими сообщениями.

Важно различать спуфинг групп и традиционный спуфинг отправителя. В последнем случае злоумышленники маскируются под отдельных пользователей, в то время как спуфинг групп позволяет им маскироваться под целые подразделения, проекты или инициативы вашей организации, что делает атаки более убедительными и сложными для обнаружения.

Как обнаружить, что ваша группа была спуофена

Раннее обнаружение спуфинга групп критически важно для минимизации ущерба. Вот ключевые индикаторы, на которые следует обратить внимание:

Необычные запросы от групп: Если вы получаете запросы на перевод средств, доступ к системам или конфиденциальную информацию от группы, которая обычно не занимается такими вопросами, это красный флаг.
Изменения в членстве групп: Обратите внимание на автоматические добавления или удаления участников в группах, особенно если вы не проводили соответствующих изменений.
Непривычные действия от имени группы: Сообщения о срочных действиях от групп, которые обычно не требуют срочности, могут указывать на компрометацию.
Аномальная активность групп: Резкий всплеск активности в группе, особенно в нерабочее время, может быть признаком злоумышленных действий.

Для технических специалистов доступны более продвинутые методы обнаружения с использованием PowerShell и Центра безопасности Microsoft 365:

Проверка членства в группах

powershell
# Подключение к Exchange Online
Connect-ExchangeOnline

# Получение всех групп в организации
Get-UnifiedGroup -ResultSize Unlimited | Select-Object DisplayName, Alias, ExternalDirectoryObjectId, WhenCreated

# Проверка участников конкретной группы
Get-UnifiedGroupLinks -Identity "Имя_группы" -LinkType Members

# Поиск групп с внешними участниками
Get-UnifiedGroup -ResultSize Unlimited | ForEach-Object {
    $group = $_
    $members = Get-UnifiedGroupLinks -Identity $group.Identity -LinkType Members
    $externalMembers = $members | Where-Object {$_.RecipientTypeDetails -eq "Guest"}
    if ($externalMembers) {
        Write-Host "Группа: $($group.DisplayName) имеет внешних участников:"
        $externalMembers | Select-Object Name, PrimarySmtpAddress
    }
}

Анализ журналов аудита

powershell
# Подключение к PowerShell для M365
Connect-Microsoft365Admin

# Получение событий создания групп за последние 7 дней
Search-UnifiedAuditLog -StartDate (Get-Date).AddDays(-7) -EndDate (Get-Date) -Operations "Add Unified Group" -ResultSize 5000

# По подозрительной активности в группах
Search-UnifiedAuditLog -StartDate (Get-Date).AddDays(-7) -EndDate (Get-Date) -Operations "Update Unified Group", "Add Unified Group Links" -ResultSize 5000 | 
    Where-Object {$_.AuditData -like "*ExternalMember*" -or $_.AuditData -like "*Spoof*"}

# Анализ отправки писем от имени групп
Search-UnifiedAuditLog -StartDate (Get-Date).AddDays(-7) -EndDate (Get-Date) -Operations "Send" -ResultSize 5000 | 
    Where-Object {$_.AuditData -like *"Group.Mailbox"*}

Использование Центра безопасности Microsoft 365

Перейдите в Центр безопасности Microsoft 365 > Поиск и расследование > Поиск по журналу
Используйте фильтры для поиска событий, связанных с группами:
- Тип действий: "Добавление группы Microsoft 365", "Обновление группы Microsoft 365"
- Дата: за последние 7-30 дней
- Пользователь: проверку можно провести для всех пользователей или подозрительных

Реальные примеры атак

Рассмотрим несколько реальных примеров спуфинга групп в M365:

Пример 1: Финансовое мошенничество

Крупная технологическая компания столкнулась с атакой, когда злоумышленники создали поддельную группу "Финансовый отдел - Срочные операции". Используя эту маску, они отправили письма нескольким сотрудникам с просьбой перевести средства на "новый счет для срочной сделки". Сотрудники, полагая, что запрос исходит от реального финансового отдела, выполнили инструкцию, что привело к потере более $500,000.

Технический анализ показал, что злоумышленники:

Создали группу с именем, похожим на реальную финансовую группу
Добавили себя в качестве внешнего участника
Настроили автоматическую пересылку писем с группового почтового ящика
Использовали срочность и официальную тематику для создания давления

Пример 2: Шпионаж и кража данных

В одной международной корпорации злоумышленники создали поддельную группу "Команда по слиянию и поглощению". Используя эту маску, они отправили целевым сотрудникам запросы на доступ к конфиденциальным документам, связанные с предстоящим слиянием. Сотрудники, не зная о фальшивости группы, предоставили доступ, что привело к утечке стратегически важной информаци�