Una nuova tecnica di attacco mostra come un malware già presente in una sessione Windows con utente autenticato possa sfruttare le chiavi di Windows Hello for Business per ottenere accesso persistente a Microsoft Entra ID. Il punto critico è che l’attaccante non deve estrarre la chiave privata protetta dal TPM, non deve recuperare il PIN e non deve attivare richieste biometriche.
Se il codice malevolo gira nel contesto dell’utente mentre la sessione è interattiva, può chiedere al sistema operativo di firmare i dati necessari all’autenticazione, approfittando del normale meccanismo di ticketing.
Con questa capacità, un attore malevolo può avviare una catena di compromissione cloud: autenticarsi su Entra ID, registrare un dispositivo sotto il proprio controllo e ottenere un Primary Refresh Token. Il PRT è particolarmente rilevante per la sicurezza cloud perché abilita accesso continuativo ai servizi Microsoft e può restare valido fino a 90 giorni, con rinnovo costante durante l’uso attivo. In scenari dove le policy del tenant lo consentono, l’attaccante potrebbe anche aggiungere metodi di autenticazione aggiuntivi, aumentando la persistenza e la difficoltà di rimozione.
La tecnica moderna tratta la chiave di Windows Hello for Business come una passkey FIDO2 tramite WebAuthn. Un elemento chiave è la challenge di Entra ID con finestra di circa cinque minuti, che risulta non vincolata in modo stretto a sessione, utente o tenant. In pratica, la richiesta può essere generata da un host controllato dall’attaccante e poi fatta firmare dal dispositivo compromesso, producendo una assertion valida. Strumenti di interazione con Entra ID come ROADtools possono poi usare tale assertion per richiedere token o aprire una sessione browser come la vittima.
Un ulteriore aspetto riguarda il device binding. Se il token ottenuto non include un claim di device ID, diventa più semplice registrare un nuovo device e costruire una presenza stabile nel tenant. Inoltre, l’accesso via WebAuthn può soddisfare requisiti di Conditional Access legati a autenticazione resistente al phishing e può essere considerato come MFA recente, con possibili implicazioni per l’aggiunta di nuove passkey o nuove chiavi Windows Hello dove consentito.
Dal punto di vista del rilevamento, è utile monitorare registrazioni di dispositivi inattese e ricercare eventi di sign-in Windows Hello for Business con device ID vuoto, tenendo presente che anche alcune sessioni browser non SSO o in incognito possono generare pattern simili.