Kali365: Come Bloccare il Device Code Phishing

TL;DR

• Cosa imparerai: Rilevare e bloccare Kali365 device code phishing su Microsoft 365 • Tempo richiesto: 45 minuti per configurazione completa • Difficoltà: Media - richiede accesso admin Entra ID e competenze PowerShell

IL PROBLEMA

Se nelle ultime settimane hai notato login sospetti da dispositivi "non riconosciuti" o utenti che lamentano sessioni attive mai autorizzate, potresti aver incontrato Kali365.

Questo phishing kit è diverso dal solito. Non clona pagine Microsoft e non ruba password direttamente. Invece sfrutta il device code flow - quella funzione legittima che ti permette di autenticarti su dispositivi limitati (smart TV, console, IoT) inserendo un codice su un altro device.

Ecco il flusso dell'attacco:

1. La vittima riceve un'email apparentemente da Microsoft
2. Cliccando il link, viene reindirizzata alla vera pagina Microsoft
3. Il sistema chiede di inserire un codice device per "verificare l'account"
4. La vittima inserisce il codice generato dall'attaccante
5. L'attaccante ottiene un token OAuth valido senza mai vedere la password

Il bello (per loro) è che tutto avviene su domini Microsoft autentici. I tuoi filtri email vedranno URL legittimi. Gli utenti vedranno pagine Microsoft reali. Solo il codice device è controllato dall'attaccante.

PREREQUISITI

• Accesso Global Admin su Microsoft 365/Entra ID • PowerShell con modulo AzureAD installato • Accesso ai log audit di Entra ID (Premium P1 minimo) • Competenze base su Conditional Access e App Registration

STEP-BY-STEP

Step 1: Analizza i Log Attuali

Prima di bloccare, vediamo se sei già sotto attacco:

# Connettiti ad Entra ID
Connect-AzureAD

# Cerca device code authentication nelle ultime 48 ore
Get-AzureADAuditDirectoryLogs -Filter "activityDisplayName eq 'Device code authentication'" |
Where-Object {$_.ActivityDateTime -gt (Get-Date).AddHours(-48)} |
Select-Object ActivityDateTime, UserPrincipalName, IPAddress, ClientAppUsed

Cerca pattern sospetti:

• IP geograficamente incongruenti (dipendente a Milano, login da Romania)
• Orari inusuali per l'utente
• Client app sconosciute diverse dai tool aziendali standard

Step 2: Identifica App Registration Sospette

Kali365 potrebbe aver registrato app OAuth malevole:

# Lista tutte le app registration
Get-AzureADApplication | Where-Object {
    $_.PublisherDomain -notlike "*microsoft.com" -and
    $_.PublisherDomain -notlike "*tuodominio.it"
} | Select-Object DisplayName, PublisherDomain, AppId, CreatedDateTime

Occhio a:

• App create di recente senza approval IT
• Publisher domain sospetti (typosquatting Microsoft)
• Nomi generici tipo "Office App", "Microsoft Helper"

Step 3: Configura Conditional Access Anti-Device Code

Creiamo una policy che blocca il device code flow per utenti sensibili:

1. Entra ID Admin Center → Security → Conditional Access
2. New policy chiamala "Block-Device-Code-Executives"
3. Assignments:

• Users: Seleziona C-level, HR, Finance (i bersagli preferiti)
• Cloud apps: All cloud apps
• Conditions → Client apps → Mobile apps and desktop clients → Other clients

1. Access controls:

• Grant → Block access

1. Enable policy: Report-only (per test)

Step 4: Implementa Monitoraggio Proattivo

Crea un alert che ti avvisa in tempo reale:

# Script da schedulare ogni 15 minuti
$SuspiciousLogins = Get-AzureADAuditSigninLogs -Filter "clientAppUsed eq 'Other clients'" |
Where-Object {$_.CreatedDateTime -gt (Get-Date).AddMinutes(-15)} |
Where-Object {$_.Status.ErrorCode -eq 0}  # Login riusciti

if ($SuspiciousLogins) {
    # Invia alert via email/Teams/Slack
    $AlertBody = "ALERT: Device code authentication rilevata:\n"
    foreach ($login in $SuspiciousLogins) {
        $AlertBody += "User: $($login.UserPrincipalName), IP: $($login.IPAddress)\n"
    }
    Send-MailMessage -To "soc@tuazienda.it" -Subject "Device Code Alert" -Body $AlertBody
}

Step 5: Hardening OAuth Consent

Rendi più difficile l'approval di app malevole:

1. Entra ID → Enterprise applications → Consent and permissions
2. User consent settings:

• "Do not allow user consent"
• OR "Allow user consent for apps from verified publishers"

1. Admin consent settings:

• Abilita admin consent workflow
• Configura reviewer (non solo IT, anche Security)

Step 6: Educazione Mirata

A differenza del solito "non cliccare sui link", qui serve educazione specifica:

Email template per gli utenti:

> NUOVO RISCHIO: Device Code Phishing > > Se ricevi un'email che ti chiede di inserire un "codice dispositivo" su Microsoft.com, FERMATI. > > Anche se la pagina è autentica Microsoft, il codice potrebbe essere controllato da attaccanti. > > Prima di inserire qualsiasi codice device: chiama IT per verifica.

VERIFICA

Dopo 48 ore di configurazione, verifica l'efficacia:

Test Log Monitoring

# Verifica che gli alert funzionino
Get-AzureADAuditSigninLogs -Filter "clientAppUsed eq 'Other clients'" |
Where-Object {$_.CreatedDateTime -gt (Get-Date).AddDays(-2)} |
Measure-Object

Se vedi ancora molti "Other clients" da utenti standard, potrebbe essere normale (app mobile legacy). Se vedi picchi improvvisi, indaga.

Test Conditional Access

1. Entra ID → Sign-in logs
2. Filtra per "Conditional Access" status
3. Cerca policy "Block-Device-Code-Executives" applied
4. Verifica che non blocchi operazioni legittime

Test User Awareness

Fai un micro-test con 2-3 utenti fidati:

• Invia loro un'email "device code" simulata
• Vedi se ti chiamano per verifica
• Se cliccano senza pensare, ripeti l'educazione

TROUBLESHOOTING

Q: La policy Conditional Access blocca app aziendali legittime? A: Aggiungi esclusioni specifiche per le app che usi. Vai in Assignments → Cloud apps → Exclude → seleziona le app IT-approved che usano device code.

Q: Gli utenti lamentano che non riescono più ad autenticarsi su smart TV aziendali? A: Crea una policy separata che permette device code solo da IP aziendali conosciuti.

Q: Vedo troppi alert, è tutto rumore? A: Affina il filtro. Aggiungi condizioni per escludere IP noti, orari lavorativi, geolocalizzazioni legittime.

Q: Un executive ha già inserito un codice sospetto, cosa faccio? A: 1) Reset immediato password utente, 2) Revoca tutti i token OAuth attivi, 3) Check delle app consent, 4) Scan dei dispositivi utente.

Q: Come distinguo device code legittimo da Kali365? A: Timing e contesto. Device code legittimo segue configurazione IT pianificata. Kali365 arriva via email phishing non richiesta.

CONCLUSIONE

Kali365 è subdolo perché sfrutta flussi Microsoft legittimi. Non puoi bloccarlo solo con filtri email tradizionali.

La difesa è multicouche: monitoring dei log, Conditional Access mirato, educazione specifica degli utenti.

Prossimi passi:

1. Immediato: Implementa monitoring e alert
2. Questa settimana: Configura Conditional Access per ruoli sensibili
3. Prossimo mese: Estendi le policy a tutti gli utenti dopo test

E ricorda: se un servizio antispam professionale avesse analizzato le email Kali365, probabilmente avrebbe rilevato i pattern di redirect sospetti prima che raggiungessero le caselle.