Skip to content

資安研究：Azure IMDS 令牌利用分析

關鍵發現： 向 169.254.169.254 發送一個未經身份驗證的簡單 curl 指令，即可根據所分配的 RBAC 角色，授予攻擊者存取 Key Vault、存儲帳戶乃至網域控制站 (DC) 的完整權限。
 

核心漏洞機制

IMDS 端點在超管理器層級處理令牌請求。由於它不需要身份驗證並繞過標準的條件式存取，它成為了一個高影響力的原始攻擊工具。

curl -H “Metadata: true” “http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https://management.azure.com/”
 

控制平面 vs. 數據平面

平面 (Plane)令牌對象 (Audience)受損後的影響
控制平面management.azure.com基礎設施映射、資源刪除、設定修改。
數據平面vault.azure.net / storage.azure.com提取機密、竊取個人識別資訊 (PII)、離線 AD 分析。

資安誤區與神話

  • vTPM 受信任啟動： 無法防止使用者模式下的程序獲取 IMDS 令牌。
  • 機密虛擬機 (Confidential VMs)： 對於已獲得客體程式碼執行權限的攻擊者，IMDS API 的存取路徑並無改變。
  • 全域讀取者角色： 若無明確的 appRoleAssignments，管理識別權限無法直接呼叫 Graph API。
Start Free Trial

關於 Guardz

Guardz 為管理服務提供商 (MSP) 和 IT 專業人士提供一個人工智能驅動的網絡安全平台，專門設計來保護小型企業免受網絡攻擊。我們的統一檢測與響應平台能夠全面保護用戶、電子郵件、設備、雲端目錄和數據。透過簡化網絡安全管理，我們讓企業能夠專注於發展業務，同時減少安全管理的複雜性。Guardz 結合強大的網絡安全技術和豐富的專業知識，確保安全措施持續受到監控、管理和改進，預防未來的攻擊並降低風險。

About Version 2

Version 2 Digital is one of the most dynamic IT companies in Asia. The company distributes a wide range of IT products across various areas including cyber security, cloud, data protection, end points, infrastructures, system monitoring, storage, networking, business productivity and communication products. Through an extensive network of channels, point of sales, resellers, and partnership companies, Version 2 offers quality products and services which are highly acclaimed in the market. Its customers cover a wide spectrum which include Global 1000 enterprises, regional listed companies, different vertical industries, public utilities, Government, a vast number of successful SMEs, and consumers in various Asian cities.

身分威脅偵測與回應 (ITDR) 框架指南

身分已成為現代企業的新安全邊界。身分威脅偵測與回應 (ITDR) 描述了一種用於識別和緩解身分相關威脅的網路安全框架。當攻擊者利用合法憑證入侵系統時，ITDR 旨在填補傳統防禦的漏洞。

核心要點

  • 關鍵保護： ITDR 協助保護組織免受憑證竊取、帳號劫持、權限提升、權杖濫用及橫向移動的侵害。
  • 高風險： 72% 的組織經歷過至少一次與身分相關的攻擊。
  • 憑證因素： 38% 的身分相關外洩事件源於員工憑證遭到破壞。
72%
經歷過身分相關攻擊的組織比例
38%
源於員工憑證遭破壞的外洩比例

 

為什麼現代安全需要 ITDR？

傳統的身分與存取管理 (IAM) 工具在策略執行和角色分配方面可能「足夠好」，但它們並非為了偵測授予存取權限後的偵測身分驅動攻擊行為而設計。攻擊者可以透過 MFA 疲勞攻擊、工作階段劫持等技術繞過多因素驗證 (MFA)。

ITDR 透過以下方式提供更細緻的可見性：

  • 持續監控： 在身分提供者 (IdPs)、SaaS 應用程式和雲端控制平面上進行行為分析。
  • 識別異常： 偵測帳號權限的突然變更或可能導致雲端外洩的目錄配置錯誤。
  • 自動化回應： 安全團隊可以採取即時行動，例如撤銷未使用的權杖、旋轉遭破壞的憑證或停用過期帳號。
功能IAM (身分管理)ITDR (威脅回應)
主要重點策略執行與角色分配偵測與緩解身分相關威脅
運作時機授予存取權限時授予存取權限後的持續監控
偵測能力靜態權限驗證動態行為分析與異常偵測

 

實施 ITDR 的考量因素

在實施 ITDR 之前，組織應清查所有關鍵系統、應用程式和數據集，並進行全面的風險評估。在評估解決方案時，應深入了解技術細節：

  • 系統攝取何種類型的原始身分遙測數據？
  • 供應商是否支援環境中所有的身分提供者？
  • 是否有清晰的事件回應工作流整合？
  • AI 偵測模型更新的頻率如何？

 

關於 ITDR 的常見問題

ITDR 偵測哪些類型的身分威脅？
偵測遭竊憑證、濫用的權杖、受破壞的服務帳號及雲端配置錯誤。
為什麼 ITDR 對現代雲端環境很重要？
它有助於提供分佈式身分生態系統和 SaaS 應用程式中存取活動的可見性。

參考資料來源：Help Net Security (2025)

Start Free Trial

關於 Guardz

Guardz 為管理服務提供商 (MSP) 和 IT 專業人士提供一個人工智能驅動的網絡安全平台，專門設計來保護小型企業免受網絡攻擊。我們的統一檢測與響應平台能夠全面保護用戶、電子郵件、設備、雲端目錄和數據。透過簡化網絡安全管理，我們讓企業能夠專注於發展業務，同時減少安全管理的複雜性。Guardz 結合強大的網絡安全技術和豐富的專業知識，確保安全措施持續受到監控、管理和改進，預防未來的攻擊並降低風險。

About Version 2

Version 2 Digital is one of the most dynamic IT companies in Asia. The company distributes a wide range of IT products across various areas including cyber security, cloud, data protection, end points, infrastructures, system monitoring, storage, networking, business productivity and communication products. Through an extensive network of channels, point of sales, resellers, and partnership companies, Version 2 offers quality products and services which are highly acclaimed in the market. Its customers cover a wide spectrum which include Global 1000 enterprises, regional listed companies, different vertical industries, public utilities, Government, a vast number of successful SMEs, and consumers in various Asian cities.

OAuth 重定向濫用分析

攻擊者如何武器化受信任的身分驗證端點

威脅行為者正積極利用 OAuth 的錯誤處理機制，將受害者誘導至 login.microsoftonline.com 和 accounts.google.com。藉由構建註定失敗的請求，攻擊者能實現無縫且靜默的重定向。

「毒藥參數」警告： 攻擊者結合 prompt=none 與無效的 scope，強制 IdP 在受害者完全察覺不到的情況下跳轉至惡意伺服器。

惡意授權請求剖析

GET /common/oauth2/v2.0/authorize
  ?client_id=<攻擊者應用程式ID>
  &prompt=none
  &scope=INVALID_SCOPE
  &response_type=code
  &redirect_uri=https://惡意中繼站.com/phish

偵測與防禦策略

  • 監控錯誤代碼 65001： 在 Entra ID 登入日誌中審查 resultType = 65001，特別是來自未知應用程式 ID 的失敗請求。
  • 限制使用者同意權限： 停用使用者對多租戶應用程式的授權，或將其限制在「經過驗證的發行者」。
  • 分析 State 參數： 若電子郵件中的 OAuth URL 包含經過編碼的使用者電郵作為 state 參數，這是極高置信度的釣魚指標。

MITRE ATT&CK 技術對照

技術 IDName實務應用
T1566.002魚叉式網路釣魚：連結在郵件中使用偽裝的 OAuth URL。
T1557中間人攻擊 (AitM)透過 EvilProxy 攔截憑證。
T1574.002DLL 側載透過合法程序加載惡意 DLL。
Start Free Trial

關於 Guardz

Guardz 為管理服務提供商 (MSP) 和 IT 專業人士提供一個人工智能驅動的網絡安全平台，專門設計來保護小型企業免受網絡攻擊。我們的統一檢測與響應平台能夠全面保護用戶、電子郵件、設備、雲端目錄和數據。透過簡化網絡安全管理，我們讓企業能夠專注於發展業務，同時減少安全管理的複雜性。Guardz 結合強大的網絡安全技術和豐富的專業知識，確保安全措施持續受到監控、管理和改進，預防未來的攻擊並降低風險。

About Version 2

Version 2 Digital is one of the most dynamic IT companies in Asia. The company distributes a wide range of IT products across various areas including cyber security, cloud, data protection, end points, infrastructures, system monitoring, storage, networking, business productivity and communication products. Through an extensive network of channels, point of sales, resellers, and partnership companies, Version 2 offers quality products and services which are highly acclaimed in the market. Its customers cover a wide spectrum which include Global 1000 enterprises, regional listed companies, different vertical industries, public utilities, Government, a vast number of successful SMEs, and consumers in various Asian cities.

威脅獵捕報告：惡意 AuthTool.exe 分析

AuthTool.exe 名稱衝突攻擊的鑑識分析

「黑盒子」問題： AI 技能正成為主要的感染媒介。攻擊者利用「名稱搶註」與偽造的信任感，針對使用者的常識進行精準打擊，藉此規避系統的安全邏輯。

名稱衝突：合法 vs. 惡意

合法 AuthTool

  • 來源： N-able Cove 備份軟體
  • 狀態： 官方記載且具數位簽章
  • 路徑： C:\Program Files\...

惡意 AuthTool

  • 來源： 虛假 “Reddit-Trends” 技能
  • 狀態： 無簽章的木馬程式
  • 路徑： C:\Users\[User]\Downloads

攻擊手法解析

此次攻擊遵循經典的特洛伊木馬模式：將惡意載荷包裝在一個高需求的生產力工具（Reddit 自動化）中。

  • 規避掃描： 載荷透過受密碼保護的 ZIP 分發（密碼：1234），讓自動化掃描器無法運作。
  • Mac 端執行： 使用 base64 -d | sh 指令直接將 Shellcode 注入核心執行。
  • 社交工程： 安裝說明告知使用者「在啟動技能前『必須』執行 AuthTool.exe」，藉此建立該程式作為必要組件的信任感。

結論

對合法軟體進行詳盡的鑑識特徵比對是最好的防禦。資安分析師不應僅驗證檔名，還必須檢查雜湊值 (Hash)、執行路徑以及數位簽章的發行單位。

Start Free Trial

關於 Guardz

Guardz 為管理服務提供商 (MSP) 和 IT 專業人士提供一個人工智能驅動的網絡安全平台，專門設計來保護小型企業免受網絡攻擊。我們的統一檢測與響應平台能夠全面保護用戶、電子郵件、設備、雲端目錄和數據。透過簡化網絡安全管理，我們讓企業能夠專注於發展業務，同時減少安全管理的複雜性。Guardz 結合強大的網絡安全技術和豐富的專業知識，確保安全措施持續受到監控、管理和改進，預防未來的攻擊並降低風險。

About Version 2

Version 2 Digital is one of the most dynamic IT companies in Asia. The company distributes a wide range of IT products across various areas including cyber security, cloud, data protection, end points, infrastructures, system monitoring, storage, networking, business productivity and communication products. Through an extensive network of channels, point of sales, resellers, and partnership companies, Version 2 offers quality products and services which are highly acclaimed in the market. Its customers cover a wide spectrum which include Global 1000 enterprises, regional listed companies, different vertical industries, public utilities, Government, a vast number of successful SMEs, and consumers in various Asian cities.

Guardz 資安報告：INC 勒索軟體案例分析

Guardz 威脅情報案例研究 | 2026 年 2 月

2026 年 2 月 19 日，INC 勒索軟體組織對託管環境發動了高速襲擊。本報告詳細說明了自動化 AI 如何跑贏對手，在無需人為干預的情況下確保 100% 的數據恢復。

1,161

威脅偵測次數

40ms

平均終止時間

100%

數據還原率

威脅行為者概況

INC Ransom 採用雙重勒索模型，重點針對醫療、政府及 MSP 部門。他們偏好「真人實機」操作，而非單純的自動化腳本。

特徵指標 細節描述
勒索信檔案 INC-README.txt / .html
加密副檔名 .INC
偵察工具 Advanced Port Scanner (T1046)
「18 分鐘」黃金時間： 在現代攻擊中，橫向移動往往發生在幾分鐘內。SentinelOne 的自動化代理程式僅用 59 毫秒 就阻斷了偵察階段，迫使攻擊者在黑暗中摸索。

自動化防禦的優勢

在大規模部署波次中，威脅行為者企圖同時感染 36 台設備。SentinelOne 的行為引擎在不到半秒內觸發了六條偵測規則，並立即啟動了 回滾 (Rollback) 程序。

系統利用受保護的磁碟陰影複製，自動將每個受影響的檔案還原。其結果是：零數據損失、零業務中斷，以及將威脅行為者徹底驅逐出境。

Start Free Trial

關於 Guardz

Guardz 為管理服務提供商 (MSP) 和 IT 專業人士提供一個人工智能驅動的網絡安全平台，專門設計來保護小型企業免受網絡攻擊。我們的統一檢測與響應平台能夠全面保護用戶、電子郵件、設備、雲端目錄和數據。透過簡化網絡安全管理，我們讓企業能夠專注於發展業務，同時減少安全管理的複雜性。Guardz 結合強大的網絡安全技術和豐富的專業知識，確保安全措施持續受到監控、管理和改進，預防未來的攻擊並降低風險。

About Version 2

Version 2 Digital is one of the most dynamic IT companies in Asia. The company distributes a wide range of IT products across various areas including cyber security, cloud, data protection, end points, infrastructures, system monitoring, storage, networking, business productivity and communication products. Through an extensive network of channels, point of sales, resellers, and partnership companies, Version 2 offers quality products and services which are highly acclaimed in the market. Its customers cover a wide spectrum which include Global 1000 enterprises, regional listed companies, different vertical industries, public utilities, Government, a vast number of successful SMEs, and consumers in various Asian cities.

×

Hello!

Click one of our contacts below to chat on WhatsApp

Social Chat is free, download and try it now here!

×