Algemeen

Deze check controleert op de aanwezigheid van applicaties die bekend staan om gebruikt te worden door cybercriminelen.

Credits

De threat intelligence van deze check wordt ontleend uit de informatie in deze Github repository van Huntress.

Rationale

Geregistreerde Applicaties in de Microsoft365 geven een relatief onopvallende manier voor aanvallers om lange tijd toegang te houden tot de omgeving. Uit onderzoeken naar cyberincidenten zoals Business Email Compromise (ofwel CEO-/Betaalfraude) blijken dergelijke apps populair te zijn en dus ook vaak terug te komen in modus operandi van cybercriminelen. 

Attic Fix

Voor deze check is een fix beschikbaar! Deze zal via een ticket in Attic worden aangeboden waarna u kunt accepteren.

Handmatige instructie

Voer deze stappen uit om de instelling aan te passen:

1. Controleer of het gebruik van de app door de gebruiker in kwestie legitiem is
   1. Zo niet: beschouw het account als gecompromitteerd, trek alle sessies in, disable het en voer onderzoek uit naar potentieel misbruik alvorens het weer vrij te geven.
   2. Zo wel: voeg de app toe aan genegeerde apps in de Attic configuratie zodat wij niet opnieuw alarm slaan.

Meer informatie

1. https://huntresslabs.github.io/rogueapps/