T1111: 多因素认证拦截

摘要

攻击者可能针对多因素认证(MFA)机制(即智能卡、令牌生成器等)，以获得可用于访问系统、服务和网络资源的凭证。建议使用 MFA，它比仅使用用户名和密码提供更高层次的安全性，但组织应意识到可用于拦截和绕过这些安全机制的技术。 如果使用智能卡进行多因素认证，则需要使用键盘记录器在正常使用期间获取与智能卡关联的密码。在插入卡片并掌握智能卡密码的情况下，攻击者可以使用受感染系统连接到网络资源，以插入的硬件令牌代理认证。(Citation: Mandiant M Trends 2011) 攻击者还可能使用键盘记录器以类似方式针对其他硬件令牌，例如 RSA SecurID。捕获令牌输入(包括用户的个人识别码)可能提供临时访问(即将一次性密码重放，直到下一次值轮换)，还可能使攻击者能够可靠地预测未来的认证值(在同时获得算法和用于生成附加临时码的任何种子值的情况下)。(Citation: GCN RSA June 2011) 其他 MFA 方法可能被攻击者拦截并用于认证。一次性验证码通常通过带外通信(电子邮件、SMS)发送。如果设备和/或服务不安全，则可能容易受到拦截。服务提供商也可能成为目标：例如，攻击者可能攻陷短信服务，以窃取发送到用户手机的 MFA 验证码。(Citation: Okta Scatter Swine 2022)