Håndtering av kompromittert M365-konto

• Gå til https://admin.microsoft365.com som administrator
• Velg brukeren
• Block sign-in -> huk av -> "save changes"

• Gå til https://entra.microsoft.com/ som administrator
• Velg: Users -> All users [direktelenke]
• Velg bruker fra listen
• "Revoke sessions" -> "Yes"

• Velg: Reset password -> Reset password
• Send midlertidig passord til brukeren i en annen kanal. Angriper kan ha tilgang til e-post.

Slett MFA-er angriper har lagt inn:

• Authentication methods -> tre prikker -> delete

Om du er usikker på hva angriper kan ha lagt inn:

TIlbakestill alle:

• authentication methods -> require re-register multifactor authentication -> OK

• Gå til applications -> fjern alle

Vi opplever jevnlig at folk ikke har kontroll på hva som hører hjemme. Reset alt.

• Gå til https://account.activedirectory.windowsazure.com/UserManagement/MultifactorVerification.aspx
• Velg bruker -> Manage user settings -> "Delete all existing app passwords generated by the selected users" -> Save

• Velg: Unblock sign-in -> fjern kryss -> "save changes"

• Ved lisens som gir advanced-hunting:Gå til http://security.microsoft.com/v2/advanced-hunting
  • Bruk søk:
    • CloudAppEvents | where AccountObjectId== @"<GUID>" | where ActionType in ('Set-Mailbox', 'New-InboxRule', 'UpdateInboxRules','Set-inboxRule')
    • Endre <GUID> med den kompromitterte brukerens Object ID. Denne finner man på administrasjonssiden for brukeren som "Object ID"
• Ved lisens som ikke gir "advanced hunting", f.eks. business standard bruk PowerShell
  • $adminAccount = "admin@domene.no"
    $mailbox = "bruker@domene.no"
    # Importer modul for å tilgjengeliggjøre kommandoene
    Import-Module ExchangeOnlineManagement
    # Koble til Office365 Exchange Online
    Connect-ExchangeOnline -UserPrincipalName $adminAccount
    # Hent innboksregler
    Get-InboxRule -Mailbox $mailbox

Ved treff

• Gå til http://admin.exchange.microsoft.com/
• Velg bruker -> Mailbox delegation -> Velg deg selv
• Gå til http://outlook.office.com/
• Trykk på deg selv -> open another mailbox -> velg bruker
• Slett eventuelle innboks- og videresendingsregler som ikke hører hjemme

OBS! Denne guiden er for å rydde opp gjennom nettgrensesnittet. Den samme jobben kan gjøres i PowerShell og da trenger du ikke å delegere tilgang til brukerens e-post til deg selv

Varsle oss på incidents@helsecert.no om angrep og angrepsforsøk.

Legg ved følgende informasjon i e-posten. Har dere ikke alt så er vi takknemlig for det vi får :

• Avsender
• Lenken til phishingen
• E-posten med phishingen i (som vedlegg)
• IP-ene angriperen brukte
• Hva angriperen gjorde

Hvorfor varsle oss?

Vi bruker slik varsling til å:

• Hjelpe andre som er rammet av tilsvarende
• Opprettholde best mulige blokkeringslister
• Ha oversikt over situasjonsbildet
• Forsøke å stenge ned angriper-infrastruktur