Microsoft zet innovatieve verdedigingstactieken in tegen phishing door het creëren van realistische nepaccounts. Deze honeypots bieden toegang tot Azure en zijn ontworpen om cybercriminelen aan te trekken en hun werkwijze te bestuderen.
Ross Bevington, die zichzelf “Head of Deception” bij Microsoft noemt, onthulde deze strategie tijdens de BSides Exeter-conferentie. Als senior security software engineer ontwikkelde hij eerder al een hybride honeypot op code.microsoft.com, die waardevolle inzichten opleverde over verschillende type aanvallers – van amateurs tot geavanceerde statelijke actoren.
Zijn huidige aanpak is nog verfijnder: complete Microsoft-tenantomgevingen worden ingezet als valstrikken, compleet met eigen domeinnamen, duizenden gebruikersaccounts en gesimuleerde bedrijfsactiviteiten zoals interne communicatie en bestandsdeling.
In plaats van passief te wachten, hanteert het team een proactieve strategie. Ze bezoeken phishing-sites die door Microsoft Defender zijn gedetecteerd en voeren daar bewust de inloggegevens van hun honeypot-tenants in. Deze accounts zijn opzettelijk niet beveiligd met twee-factor-authenticatie en bevatten verleidelijke nepinformatie – een aantrekkelijk doelwit voor cybercriminelen.
De schaal van deze operatie is indrukwekkend: Microsoft monitort dagelijks ongeveer 25.000 phishing-websites, waarvan 20% wordt benaderd met honeypot-credentials. Bij ongeveer 5% van deze gevallen loggen aanvallers daadwerkelijk in op de valse tenants. Zodra dit gebeurt, wordt uitgebreide logging geactiveerd om hun activiteiten nauwkeurig te volgen.
Deze aanpak stelt Microsoft in staat om:
- Kwaadaardige infrastructuur in kaart te brengen
- Diepgaand inzicht te krijgen in phishing-operaties
- Grootschalige campagnes te verstoren
- Cybercriminelen te identificeren
- Hun activiteiten significant te vertragen
De verzamelde gegevens omvatten IP-adressen, browsergegevens, locaties, gedragspatronen en informatie over het gebruik van VPN’s, VPS’en en phishingkits. Microsoft vertraagt bovendien bewust de interactie wanneer aanvallers proberen met de nepaccounts te communiceren.
Lees meer hierover op https://techcommunity.microsoft.com/t5/microsoft-sentinel-blog/examining-the-deception-infrastructure-in-place-behind-code/ba-p/4124464
