پژوهشگران شرکت Proofpoint از شناسایی چندین کمپین سایبری خبر داده‌اند که با بهره‌گیری از جعل شناسه کلاینت OAuth میلیون‌ها حساب مایکروسافت انترا آی‌دی (Microsoft Entra ID) را در هزاران محیط سازمانی هدف قرار داده‌اند. این تکنیک به مهاجمان اجازه می‌دهد بدون نیاز به نفوذ به یک اپلیکیشن یا سوءاستفاده از آسیب‌پذیری، صحت اعتبارنامه‌های کاربران را بررسی کنند و برخی از روش‌های معمول شناسایی ورودهای مشکوک را در مقیاس گسترده دور بزنند؛ موضوعی که نشان می‌دهد جعل شناسه کلاینت OAuth به یکی از تکنیک‌های نوظهور برای شناسایی حساب‌های ابری و ارزیابی اعتبارنامه‌ها تبدیل شده است.
تحلیل پاسخ‌های خطا
یکی از مهم‌ترین بخش‌های این تکنیک، تحلیل پاسخ‌های خطایی است که مایکروسافت انترا در واکنش به درخواست‌های احراز هویت ارسال می‌کند. این پاسخ‌های خطا به مهاجمان امکان می‌دهند وضعیت حساب‌های کاربری را بررسی کنند؛ به این معنا که مشخص می‌شود یک نام کاربری وجود دارد، رمز عبور واردشده نادرست است یا در برخی شرایط، ترکیب نام کاربری و رمز عبور معتبر است. نکته قابل‌توجه این است که مهاجمان می‌توانند بدون تکمیل موفقیت‌آمیز فرآیند ورود به این اطلاعات دست پیدا کنند؛ قابلیتی که جعل شناسه کلاینت OAuth را به روشی مؤثر برای شناسایی حساب‌های معتبر در محیط‌های ابری تبدیل کرده است.
بر اساس گزارش Proofpoint، اگر یک نام کاربری معتبر همراه با رمز عبور نادرست ارسال شود، سرویس مایکروسافت انترا کد خطای AADSTS50126 را بازمی‌گرداند. اما اگر نام کاربری وجود نداشته باشد، کد خطای AADSTS50034 نمایش داده می‌شود. با این حال، تلاش‌های انجام‌شده برای ورود به حساب‌های غیرموجود در لاگ‌های ورود مایکروسافت انترا ثبت نمی‌شوند. همچنین اگر اعتبارنامه‌های معتبر همراه با یک شناسه کلاینت ثبت‌نشده ارسال شوند، انترا کد خطای AADSTS700016 را بازمی‌گرداند که نشان می‌دهد شناسه اپلیکیشن شناسایی نشده است.
در نتیجه، مهاجمان می‌توانند حتی بدون تکمیل موفق فرآیند احراز هویت، اعتبارنامه‌های معتبر را شناسایی کنند؛ زیرا دلیل ناموفق بودن احراز هویت، ثبت‌نشدن اپلیکیشن ارسال‌شده است، نه نادرست بودن نام کاربری یا رمز عبور. در چنین شرایطی، سازمان‌ها ممکن است این درخواست را صرفاً یک خطای مربوط به اپلیکیشن تلقی کنند و متوجه نشوند که نام کاربری و رمز عبور آن حساب پیش‌تر اعتبارسنجی شده است.
دور زدن مکانیزم‌های تشخیص با جعل شناسه کلاینت OAuth
تشخیص این حمله زمانی دشوارتر می‌شود که درخواست‌های احراز هویت در لاگ‌های ورود مایکروسافت انترا ثبت شوند. در این شرایط، شناسه کلاینت جعلی همچنان می‌تواند در بخش شناسه اپلیکیشن نمایش داده شود، اما ممکن است نام اپلیکیشن ثبت نشده باشد. همچنین اگر شناسه ارسال‌شده ساختار درستی نداشته باشد، هر دو فیلد مربوط به شناسه و نام اپلیکیشن خالی باقی می‌مانند.
این ضعف در اطلاعات ثبت‌شده باعث می‌شود قوانین امنیتی که برای شناسایی فعالیت‌های مشکوک بر اساس نام اپلیکیشن یا تشخیص افزایش ناگهانی درخواست‌ها علیه یک اپلیکیشن مشخص طراحی شده‌اند، اثربخشی کمتری داشته باشند. مهاجمان با تغییر مداوم شناسه‌های کلاینت، تلاش‌های ورود خود را با هویت‌های مختلف انجام می‌دهند؛ در نتیجه، درخواست‌هایی که در واقع بخشی از یک کمپین واحد هستند، ممکن است در لاگ‌ها جدا از هم ثبت شوند و ارتباط میان آن‌ها برای سیستم‌های تشخیص قابل شناسایی نباشد. این روش در جعل شناسه کلاینت OAuth باعث می‌شود شناسایی الگوی واقعی حمله برای سازمان‌ها دشوارتر شود.
کمپین‌های گسترده علیه میلیون‌ها حساب مایکروسافت انترا با جعل شناسه کلاینت OAuth
شرکت Proofpoint این الگو را در کمپینی با نام UNK_pyreq2323 شناسایی کرد که فعالیت آن از ژانویه 2026 آغاز شده بود. در این عملیات، مهاجمان با استفاده از تکنیک جعل شناسه کلاینت OAuth ، بیش از یک میلیون حساب کاربری را در نزدیک به 4 هزار محیط سازمانی مایکروسافت انترا بررسی کردند و بیش از 700 هزار شناسه کلاینت جعلی را برای ارسال درخواست‌های احراز هویت به کار گرفتند.
این درخواست‌ها از زیرساخت آمازون وب سرویس (AWS) ارسال شدند و از عامل کاربری (User-Agent) مربوط به python-requests/2.32.3 استفاده می‌کردند. حجم بالای تلاش‌های ناموفق برای احراز هویت باعث شد حدود 28 درصد از حساب‌های هدف با وضعیت قفل حساب (Account Lockout) مواجه شوند.
برای دشوارتر کردن شناسایی این فعالیت‌ها، اپراتورهای کمپین شش رقم پایانی یک شناسه اپلیکیشن شناخته‌شده در اکسچنج آنلاین (Exchange Online) را تغییر دادند و از شناسه‌های دستکاری‌شده استفاده کردند. هر یک از این شناسه‌های جعلی تنها برای تعداد محدودی از حساب‌ها به کار گرفته شد. این روش باعث شد قوانین امنیتی مبتنی بر اپلیکیشن نتوانند به‌راحتی ارتباط میان درخواست‌های مرتبط را تشخیص دهند.
ردپای یک تکنیک مشترک در دو کمپین سایبری متفاوت
کمپین دیگری با نام UNK_OutFlareAZ نیز از همین تکنیک استفاده کرد، اما شیوه اجرای متفاوتی داشت. این کمپین که فعالیت خود را از دسامبر 2025 آغاز کرد، بیش از 2 میلیون کاربر را تحت تأثیر قرار داد و حدود 3.7 میلیون شناسه اپلیکیشن جعلی تولید کرد. بخش زیادی از این فعالیت‌ها از طریق زیرساخت کلودفلر (Cloudflare) انجام شد.
در این کمپین، مهاجمان برای هر درخواست احراز هویت یک شناسه کلاینت جدید از نوع UUIDv4 تولید می‌کردند. استفاده از یک شناسه منحصربه‌فرد برای هر درخواست باعث شد ارتباط میان درخواست‌ها در سطح اپلیکیشن دشوارتر شود. این روش در مقایسه با کمپین UNK_pyreq2323 که از شناسه‌های دستکاری‌شده اکسچنج آنلاین استفاده می‌کرد، رویکردی پیشرفته‌تر برای اجرای حمله محسوب می‌شد.
میان این دو کمپین، تفاوت‌هایی در عامل کاربری و الگوی بررسی حساب‌ها نیز مشاهده شد. کمپین UNK_OutFlareAZ با استفاده از یک عامل کاربری (User Agent) شبیه به اوت لوک (Outlook)، نام‌های کاربری را به ترتیب حروف الفبا هدف قرار می‌داد؛ در حالی که کمپین UNK_pyreq2323 با ابزارهای مبتنی بر پایتون (Python)، حساب‌ها را با ترتیبی غیرالفبایی آزمایش می‌کرد.
با وجود اینکه به نظر می‌رسد اپراتورهای این دو کمپین ارتباطی با یکدیگر نداشته‌اند اما هر دو عملیات تلاش‌های احراز هویت را با استفاده از هویت‌های اپلیکیشن جعلی انجام داده‌اند. تفاوت در روش اجرای این کمپین‌ها نشان می‌دهد که جعل شناسه کلاینت OAuth به‌تدریج در حال تبدیل شدن به یکی از روش‌های مورد استفاده مهاجمان برای شناسایی حساب‌های ابری است.
شرکت Proofpoint به سازمان‌ها توصیه می‌کند سوابق ورود مایکروسافت انترا را به‌منظور شناسایی مواردی مانند ثبت‌نشدن نام اپلیکیشن، شناسه‌های اپلیکیشن غیرعادی و اطلاعات ناقص مربوط به اپلیکیشن بررسی کنند. همچنین این داده‌ها باید در کنار کدهای خطای احراز هویت، حجم درخواست‌ها، زیرساخت‌های مبدأ و الگوهای تکرارشونده فعالیت کاربران تحلیل شوند.
