El malware abusa de la clave de Windows Hello for Business para autenticar Microsoft Entra ID

Una técnica recientemente demostrada muestra cómo el malware en una sesión de usuario de Windows comprometida puede abusar de las claves criptográficas de Windows Hello for Business (WHFB) para autenticarse en Microsoft Entra ID, lo que permite a los atacantes obtener acceso a la nube sin la contraseña, el PIN o los datos biométricos de la víctima. Sin embargo, el investigador Dirk-jan Mollema descubrió que un proceso que ya está funcionando dentro de una sesión de usuario activa puede utilizar la clave a través de interfaces criptográficas de Windows sin activar un nuevo PIN o un mensaje biométrico.

En cambio, el malware con acceso a una sesión de usuario desbloqueada podría pedirle a Windows que realice operaciones de firma criptográfica utilizando la clave protegida. El abuso de claves de Windows Hello tiene como objetivo Entra ID Una ruta de ataque implica solicitar un token de actualización principal, también conocido como PRT. La nueva investigación muestra una segunda opción: tratar la clave de Windows Hello para empresas como una clave de acceso FIDO2 a través del protocolo de autenticación WebAuthn. Al generar una afirmación WebAuthn válida con la clave de Windows Hello de la víctima, un atacante podría autenticarse en Microsoft Entra ID desde una máquina separada.

WHFB firma el script de PowerShell (Fuente: Dirkjanm) Los defensores deben monitorear los registros de inicio de sesión de Entra ID para las autenticaciones de Windows Hello for Business donde el ID del dispositivo está vacío. La publicación Malware abusa de la clave de Windows Hello for Business para autenticar Microsoft Entra ID apareció por primera vez en Cyber ​​Security News.

Consultar publicación original ↗