La suplantación de ID de cliente de OAuth permite a los atacantes validar las credenciales de Microsoft Entra robadas – CYBERDEFENSA.MX
Al menos dos actores de amenazas distintos están utilizando como arma una novedosa técnica de evasión llamada Falsificación de ID de cliente de OAuth en campañas en la nube, evitando al mismo tiempo la telemetría.
La actividad permite a los usuarios enumerar cuentas de usuario y validar credenciales robadas en entornos Microsoft Entra ID, sin generar nunca un evento de inicio de sesión exitoso que, de otro modo, alertaría a los defensores. Y los malos actores han comenzado a explotar esta brecha para obtener acceso no autorizado a los servicios en la nube de una organización.
«Un punto ciego en la telemetría de inicio de sesión en la nube: Entra ID devuelve diferentes respuestas de error dependiendo de si la ID de cliente OAuth proporcionada es válida», dijo Proofpoint en un comunicado. «Los atacantes aprovechan esto para inferir nombres de usuario válidos y contraseñas correctas a escala, verificando efectivamente las listas de credenciales robadas sin registrar un inicio de sesión exitoso».
En otras palabras, los ataques aprovechan el ID del cliente OAuth, un identificador único global (GUID) asignado a las aplicaciones cuando solicitan acceso a los datos del usuario, y se pasa como «id_cliente» en solicitudes de autenticación. Al proporcionar ID de cliente falsificados, permite la enumeración de cuentas sin una aplicación OAuth registrada y permite a los atacantes inferir tanto la contraseña como la validez de la cuenta sin generar un evento de inicio de sesión exitoso.
«El Registros de inicio de sesión de Entra son una fuente de telemetría principal para identificar actividades de autenticación maliciosas, incluida la enumeración de usuarios, la difusión de contraseñas y los intentos de acceso inicial», afirma Rachel Rabin, investigadora de Proofpoint. dicho.
Grupos de amenazas como UNK_CustomCloak Se ha observado que falsifican cadenas de User-Agent para orquestar campañas de fuerza bruta dirigidas a entornos Microsoft Entra ID mediante la explotación de una aplicación propia heredada y descontinuada llamada Windows Live Custom Domains para eludir las restricciones de inicio de sesión estándar y sondear las contraseñas de los usuarios en más de 4000 inquilinos.
Pero los últimos esfuerzos marcan una evolución de este oficio al falsificar las ID de los clientes de OAuth a través de solicitudes HTTP POST al punto final del token OAuth 2.0 de Microsoft utilizando las credenciales de contraseña del propietario del recurso (ROPC) flujo. Específicamente, esto implica proporcionar un ID de cliente sintácticamente válido pero que no corresponda a una aplicación real.
En tales escenarios, solo se registra el ID de la aplicación en el registro de inicio de sesión de Entra sin el nombre de la aplicación correspondiente. La respuesta, que contiene un servicio de token de seguridad de Azure Active Directory (AADSTS), código de error, se puede utilizar para inferir si la cuenta existe y si la contraseña es correcta sin una aplicación registrada.
«Si el ID de cliente falsificado no es un UUIDv4 adecuado, Entra no rechaza la solicitud directamente», explicó Proofpoint. «Por lo tanto, los atacantes pueden analizar esta respuesta de error para identificar cuentas y contraseñas válidas, a pesar de utilizar ID de cliente con formato incorrecto».
«Cuando se utiliza una identificación de cliente falsificada, no se registra ningún nombre de aplicación correspondiente en el registro de inicio de sesión. Esto significa que las detecciones que buscan aumentos en un nombre de aplicación específico pueden perder esta actividad por completo, ya que el campo está en blanco».
Armados con esta información, los atacantes podrían identificar cuentas que podrían ser explotadas para un acceso sigiloso, al mismo tiempo que dificultaría a los defensores identificar actividades sospechosas.
Proofpoint dijo que ha identificado dos grandes campañas que adoptaron la técnica de forma independiente hacia finales de diciembre de 2025, lo que indica que el enfoque se está incorporando cada vez más a las técnicas de los atacantes en lugar de ser un incidente aislado:
- UNK_pyreq2323 (de enero a marzo de 2026), que utilizó más de 700 000 ID de clientes falsificados de la infraestructura de Amazon Web Services (AWS) para apuntar a más de 1 millón de cuentas en casi 4000 inquilinos, lo que provocó bloqueos para aproximadamente el 28 % de los usuarios objetivo debido a intentos fallidos.
- UNK_OutFlareAZ (a partir de diciembre de 2025), que aprovechó la infraestructura de Cloudflare para dirigirse a más de 2 millones de usuarios con 3,7 millones de ID de aplicaciones falsificadas aleatorias.
Se ha observado que ambas campañas utilizan UUID válidos en lugar de identificadores con formato incorrecto y demuestran patrones que se alinean con listas de palabras de nombres de usuarios precompiladas. Dicho esto, mientras UNK_OutFlareAZ enumeró a los usuarios alfabéticamente, UNK_pyreq2323 no lo hizo. Otro aspecto en el que diferían era en cómo se falsificaban las identificaciones de los clientes.
Se dice que UNK_pyreq2323 modificó los dígitos finales de una ID de aplicación conocida y luego reutilizó ID falsificadas en hasta 12 usuarios. Por el contrario, UNK_OutFlareAZ generó una identificación de cliente única por solicitud.
«Al fragmentar los intentos de autenticación en muchas aplicaciones ficticias, la actividad se vuelve más difícil de correlacionar y puede evadir las detecciones por aplicación y la limitación de velocidad», dijo Proofpoint. «Las organizaciones pueden intentar mitigar los ataques de enumeración tradicionales aplicando políticas de acceso condicional dirigidas a aplicaciones comúnmente destinadas a la enumeración. Las ID de clientes falsificadas no activarán políticas de CA que estén dirigidas a una aplicación específica».
