Aggregator

一种名为“Cookie-Bite”的概念验证攻击利用浏览器扩展程序从 Azure Entra ID 中窃取浏览器会话 Cookie，以绕过多因素身份验证（MFA）保护，并保持对 Microsoft 365、Outlook 和 Teams 等云服务的访问。

此次攻击由 Varonis 安全研究人员设计，他们分享了一种概念验证（PoC）方法，涉及一个恶意的和一个合法的 Chrome 扩展程序。然而，窃取会话 cookie 并非新鲜事，因为信息窃取程序和中间人网络钓鱼攻击通常都会将其作为目标。

虽然通过窃取 Cookie 来入侵账户并非新手段，但“Cookie-Bite”技术中恶意 Chrome 浏览器扩展程序的使用因其隐秘性和持久性而值得关注。

Cookie扩展攻击

“Cookie-Bite”攻击由一个恶意的 Chrome 扩展程序构成，该扩展程序充当信息窃取器，专门针对 Azure Entra ID（微软基于云的身份和访问管理（IAM）服务）中的“ESTAUTH”和“ESTSAUTHPERSISTNT”这两个 Cookie。

ESTAUTH 是一个临时会话令牌，表明用户已通过身份验证并完成了多因素身份验证。它在浏览器会话中有效，最长可达 24 小时，在应用程序关闭时过期。

ESTSAUTHPERSISTENT 是在用户选择“保持登录状态”或 Azure 应用 KMSI 策略时创建的会话 Cookie 的持久版本，其有效期最长可达 90 天。

应当注意的是，虽然此扩展程序是为针对微软的会话 Cookie 而创建的，但它可以被修改以针对其他服务，包括谷歌、Okta 和 AWS 的 Cookie。

Varonis 的恶意 Chrome 扩展程序包含用于监控受害者登录事件的逻辑，监听与微软登录网址匹配的标签页更新。

当登录发生时，它会读取所有作用域为“login.microsoftonline.com”的 Cookie，应用过滤以提取上述两个令牌，并通过 Google 表单将 Cookie 的 JSON 数据泄露给攻击者。

“在将该扩展程序打包成 CRX 文件并上传至 VirusTotal 后，结果显示目前没有任何安全供应商将其检测为恶意程序，”Varonis 警告称。

Chrome扩展窃取微软会话cookie

如果攻击者可以访问设备，他们可以部署一个PowerShell脚本，通过Windows任务调度程序运行，在每次启动Chrome时使用开发者模式自动重新注入未签名扩展。

PowerShell攻击中使用的例子

一旦cookie被盗，攻击者就会将其注入浏览器，就像其他被盗的cookie一样。这可以通过合法的Cookie-Editor Chrome扩展等工具来实现，该扩展允许威胁行为者将被盗的cookie导入到他们的浏览器“login.microsoftonline.com”下。

刷新页面后，Azure将攻击者的会话视为完全经过身份验证，绕过MFA并给予攻击者与受害者相同的访问级别。

注入偷来的 cookie

从那里，攻击者可以使用Graph Explorer枚举用户、角色和设备，发送消息或访问Microsoft Teams上的聊天，并通过Outlook Web阅读或下载电子邮件。

通过TokenSmith、ROADtools和AADInternals等工具，还可能进一步利用特权升级、横向移动和未经授权的应用程序注册。

Cookie-Bite攻击概述

微软将研究人员在攻击演示中的登录尝试标记为“atRisk”，因为他们使用了VPN，因此监控异常登录是防止这些攻击的关键。

此外，建议实施条件访问策略（CAP），以限制对特定IP范围和设备的登录。

关于Chrome扩展，建议执行Chrome ADMX策略，只允许预先批准的扩展运行，并完全阻止用户从浏览器的开发者模式。

根据安全研究人员最新发现，iOS系统的一个关键漏洞可能允许恶意应用程序仅用一行代码就永久禁用iphone。该漏洞被命名为CVE-2025-24091，利用操作系统的达尔文通知系统触发无尽的重启周期，有效地“阻塞”设备并需要完整的系统恢复。

iOS Darwin通知漏洞

该漏洞利用了Darwin通知，这是CoreOS层中的一种低级消息传递机制，允许进程通信系统范围的事件。

与NSNotificationCenter或NSDistributedNotificationCenter等更常见的通知系统不同，Darwin通知是传统API的一部分，在苹果操作系统的基础层面上运行。

安全研究员Guilherme Rambo发现了这一漏洞，他解释说：“达尔文通知甚至更简单，因为它们是 CoreOS 层的一部分。它们为苹果操作系统上的进程之间提供了一种简单的消息交换底层机制。”

关键漏洞在于，iOS上的任何应用程序都可以在无需特殊权限或授权的情况下发送敏感的系统级 Darwin 通知。

最危险的一点在于，这些通知可能会触发强大的系统功能，包括进入“正在恢复”模式。

仅需一行代码即可完成

该漏洞利用起来非常简单——只需一行代码就能触发漏洞：当执行此代码时，会迫使设备进入“正在恢复”状态。由于实际上并未进行恢复操作，该过程必然失败，从而提示用户重启设备。

研究人员创建了一个名为“VeryEvilNotify”的概念验证攻击，将此漏洞利用程序嵌入到了一个小部件扩展中。并指出：“iOS 会定期在后台唤醒部件扩展。”

由于系统中小部件的使用非常普遍，所以当安装并启动包含小部件扩展的新应用时，系统会非常急切地执行其小部件扩展。

通过将漏洞利用程序置于一个在发送通知后会反复崩溃的小部件中，研究人员制造了一种持续攻击，每次重启后都会触发，形成一个无休止的循环，致使设备无法使用。

缓解措施

苹果公司在 iOS 18.3 中通过为敏感的 Darwin 通知实施新的授权系统解决了这一漏洞。该研究人员获得了 17500 美元的漏洞赏金。

具体来说，系统通知现在需要以“com.apple.private.restrict-post.”为前缀，并且发送进程必须具备以“com.apple.private.darwin-notification.restrict-post.

这并非苹果系统中首次出现与达尔文相关的漏洞。此前，卡巴斯基实验室曾发现一个名为“达尔文核弹”的漏洞，该漏洞能让远程攻击者通过专门设计的网络数据包发起拒绝服务攻击。

强烈建议所有 iPhone 用户立即更新至 iOS 18.3 或更高版本。运行早期版本的设备仍易受此攻击，该攻击可能通过看似无害的应用程序或小部件通过 App Store 或其他分发方式部署。

该案例凸显了移动操作系统中持续存在的安全挑战，即便是简单且容易被忽视的旧版应用程序编程接口（API），如果安全防护不当，也会带来重大风险。

今日，ISC.AI 2025互联网安全大会正式宣布启动，并将于4月30日开启全球议题征集。2025年，全球大模型技术参数规模跨入百万亿级，正加速走进百行千业，成为推动我国科技进步、经济增长和国家强盛的关键力量。然而技术狂飙下，大模型安全漏洞呈指数级增长，迫使AI与安全进入共生新纪元。在此变革浪潮中，这场以“AI+安全”为核心命题的大会，将汇聚全球政要、行业领袖、专家学者，共同破解智能时代的“安全方程”，通过建立政产学研用协同创新网络，进一步推动大模型产业价值释放和数字安全的跃迁。

五大板块：打造AI产业全价值链体系

 ISC.AI 2025以“构建全球数智共同体”为目标，创新打造五大会议板块，覆盖从技术前沿到产业落地、从学术研究到生态共建的全价值链体系，形成大模型应用发展的超级枢纽。

一场开幕式，将邀请全球专家智囊深度参与，搭建起“政产学研用”的国际交流平台，探讨复杂国际背景下的安全治理与对抗，共商共议大模型开发应用和数字安全发展方向，输出紧贴国家、经济、社会、企业的前瞻观点洞察。

AI和安全峰会“双峰并立”，将邀请行业领袖和技术大咖围绕大模型和数字安全探讨最新技术和行业应用，带领参会者沉浸式探索技术深水区与产业无人区。

二十余场垂直论坛全景扫描AI行业生态，包括大模型安全应用、大模型多模态应用、安全即服务、安全大模型应用、AI原生应用开发、AI攻防、智能化安全运营等技术论坛，与AI反诈、医疗AI多模态诊断、智慧城市数字孪生等行业赋能专场论坛。

一大创新赛事，培育数智时代新生力量，秉承产教融合、科教融汇、教育赋能。创新独角兽沙盒大赛开设AI应用、数字安全、ISC沙盒新星三大赛道。其中，新星赛聚焦数智时代新质人才的培养和挖掘，引导高校学生直面产业级场景需求，锤炼AI大模型创新思维与工程能力。大赛旨在为AI产业输送兼具技术底蕴与应用视野的复合型人才。

一场实战训练营，基于“产教融合、科教融汇、教育赋能“的培养理念，开设三大课程。学生先锋营（大会前开课） 聚焦"行业认知+实战筑基"双维度提升，帮助学生建立数字安全与人工智能产业图谱认知，掌握前言工具基础应用能力；专业精进营（大会期间开课） 围绕安全+AI最新技术议题进行深度讲解，助力从业者打造"技术纵深+生态连接"核心竞争力 ；师资领航营（大会前开课） 通过AI增强型课堂工作坊，助力教师"教学赋能+科研反哺"双向增强，掌握前沿数字教学能力。

一大生态展区，包含AI未来体验馆和数字安全生态展。AI未来体验馆将迎来三个全新升级：创新升级、技术升级、体验升级。不仅有最新的AI应用创新技术展示，还有机器人互动、低空飞行模拟器、数字人人工智能陪伴等全新产品带来的震撼体验。此外，数字安全生态展将聚集百家上下游企业，展示行业最新解决方案和创新产品。

全球议题招募：AI+安全共生未来

ISC.AI 2025将于4月30日至 6月20日面向全球征集AI和安全双赛道议题，向AI与数字安全领域的企业、高校及技术极客发出邀请。为持续发扬探索会议新形态的办会精神，本届大会鼓励公众通过应用“纳米AI”的创新功能来生成议题，积极参与到议题征集活动中来。

AI议题方向：

·AI技术：大模型安全技术、大模型多模态应用、AI安全创新人才培养、AI技术融合教学实践、大模型与智能体前沿技术、视觉大模型关键技术与应用……

·AI应用：垂直行业大模型价值落地方法论、大模型开源生态建设策略、数字教学体系设计、大模型驱动的产业数字化转型……

数字安全议题方向：

·技术创新：安全大模型技术应用、自动化安全运营SOAR、漏洞发现与修复、APT攻击分析溯源……

·行业应用：关键基础设施安全防护升级、数字人才培养（安全+AI）、中小微企业安全防护体系创新……

包括但不限于以上议题方向。

即刻加入，定义未来

我们诚邀全球创新力量提交最具突破性、实践性、争议性的议题，提交议题入围者将获得演讲机会、展区资源、ISC媒体矩阵公众曝光、专属礼遇等丰富权益。

访问ISC官方网站提交议题，成为AI安全时代的规则制定者！