Se um invasor comprometeu com sucesso uma conta de administração global do AzureAD, um ataque pode ser conduzido a partir da própria infraestrutura de um invasor. Um invasor pode instalar um Agente PTA em um servidor que gerencia e registrar o agente usando a conta de administrador global comprometida (Figura 3).
Uma vez registrado no Azure AD, o servidor desonesto começará a interceptar e autorizar todas as tentativas de login. Assim como no Método 1, este servidor também pode ser usado para coletar credenciais válidas.
Outro método de autenticação para M365 é através do uso dos serviços da federação. Quando um domínio M365 é configurado como um domínio federado, uma confiança é configurada entre m365 e um provedor de identificação externa. Em muitos casos, essa confiança é estabelecida com um servidor ADFS (Active Directory Federation Services, serviços da Federação ativa) para um domínio do Active Directory no local.
Uma vez estabelecida uma confiança, quando um usuário entra no M365 usando um domínio federado, sua solicitação é redirecionada para o provedor de identificação externa (ADFS) onde sua autenticação é validada (Figura 4). Uma vez validado, o servidor ADFS fornece ao usuário um token de segurança. Este token é então confiável pelo M365 e concede o acesso à plataforma.
AADInternals tem uma função PowerShell para criar tokens de segurança, o que imita o processo de autenticação do ADFS. Ao fornecer à função um UserPrincipalName válido, ID imutável e IssuerURI, um invasor pode gerar um token de segurança como qualquer usuário do inquilino. O que é ainda mais preocupante é que uma vez que este token de segurança é gerado, isso pode permitir que um invasor contorne mfa.