El panorama de la seguridad enfrentó un desafío significativo justo antes de finalizar el año con la aparición de ConsentFix, un ingenioso ataque basado en OAuth que explota flujos de autenticación legítimos para extraer códigos de autorización de sistemas Microsoft Entra. Este ataque representa una evolución de la técnica ClickFix, demostrando cómo los atacantes continúan perfeccionando sus métodos para comprometer la autenticación basada en la nube

El panorama de la seguridad enfrentó un desafío significativo justo antes de finalizar el año con la aparición de ConsentFix, un ingenioso ataque basado en OAuth que explota flujos de autenticación legítimos para extraer códigos de autorización de los sistemas de Microsoft Entra.

Este ataque representa una evolución de la técnica ClickFix, demostrando cómo los atacantes siguen perfeccionando sus métodos para comprometer sistemas de autenticación en la nube sin activar los controles de seguridad tradicionales.

ConsentFix funciona creando una URL maliciosa de inicio de sesión en Microsoft Entra que apunta a la aplicación Azure CLI y al Azure Resource Manager, dirigiendo a los usuarios a este enlace especialmente diseñado mediante tácticas de phishing.

Cuando un usuario desprevenido visita un sitio web comprometido, comienza la cadena de ataque. El atacante aprovecha el flujo de código de autorización de OAuth 2.0, un mecanismo de autenticación estándar con el que la mayoría de los usuarios interactúan a diario al iniciar sesión en aplicaciones en la nube.

El usuario se autentica correctamente con sus credenciales, y su navegador redirige a lo que debería ser una dirección de respuesta legítima.

En lugar de que una aplicación funcional reciba el código de autenticación, el usuario se encuentra con un error porque ningún servicio escucha en esa dirección de localhost.

La vulnerabilidad crítica radica en lo que sucede a continuación. La página de error aún contiene el código de autorización sensible dentro de la URL de redirección, y el atacante simplemente solicita al usuario que copie y pegue esta información mediante la funcionalidad de arrastrar y soltar.

Los analistas de Glueck Kanja señalaron que esta técnica logra eludir notablemente las políticas de Acceso Condicional y los requisitos de cumplimiento de dispositivos, lo que la hace especialmente peligrosa para organizaciones con marcos de seguridad robustos.

Mecanismos de detección y respuesta

Los equipos de seguridad deben entender cómo se manifiesta ConsentFix en los registros para detectar este ataque de manera efectiva. Cuando ocurre este ataque, los registros de inicio de sesión de Azure revelan dos eventos de autenticación distintos dentro de la misma sesión.

El primer evento representa una interacción legítima del usuario, apareciendo como un inicio de sesión interactivo desde la ubicación de la víctima. El segundo evento, originado desde la infraestructura del atacante, aparece como un inicio de sesión no interactivo mientras el atacante canjea el código de autorización robado por tokens de acceso.

La relación temporal entre estos eventos proporciona la señal de detección más fiable. Los códigos de autorización de Azure permanecen válidos durante aproximadamente diez minutos, estableciendo una ventana clara en la que los atacantes deben canjear los tokens.

Al correlacionar los SessionIDs, ApplicationIDs y UserIDs coincidentes entre los dos eventos dentro de este período, los defensores pueden identificar intentos de ataque.

Los analistas también deben tener en cuenta que las direcciones IP suelen diferir entre los eventos, ya que el usuario y el atacante operan desde sistemas separados.

Las estrategias de detección avanzadas filtran escenarios de automatización legítimos como GitHub Codespaces, que completan este proceso de autenticación en cuestión de segundos, distinguiendo la actividad benigna de los intentos maliciosos de robo de tokens.