Заметки на полях

Если вы каким-то образом (фишинг, сбрутили, от инсайдера и т.д.) получили валидные креды от корпоративной учётки пользователя на Office365 - у вас есть возможность получить больше информации об AD компании.

В большинстве случаев компании используют не только почту на Office 365, но и другие сервисы, в том числе и Azure. А пароли, конечно, доменные.

Поэтому, если вы получили логин и пароль пользователя, пусть даже самого бесправного - попробуйте эти креды на portal.azure.com. В случае успешного логина - вы получаете доступ к списку всех пользователей, групп и списку администраторов, что может помочь для дальнейшего исследования компании.

А как же MFA? А тут все зависит от администратора. Microsoft рекомендует ставить второй фактор для пользователей на все свои сервисы. Однако, не все следуют рекомендациям. Бывают ситуации, когда на почту есть MFA, а на portal.azure.com нет. У одного и того же пользователя, естественно.

#redteam