Microsoft afviser "beviser for vellykket angreb" mod deres platform
2 min. Læs
Udgivet den
Del denne artikel
Forbedre denne vejledning
Læs vores oplysningsside for at finde ud af, hvordan du kan hjælpe MSPoweruser med at opretholde redaktionen Læs mere
Vi rapporterede i går om påstande om det Microsofts Microsoft 365-platform blev misbrugt af hackere til at spionere på det amerikanske finansministerium.
Microsoft har svaret af udstationering af en guide til administratorer "at finde og afbøde potentiel ondsindet aktivitet".
De afviste dog, at Microsofts sky var kompromitteret og sagde:
Vi ønsker også at forsikre vores kunder om, at vi ikke har identificeret nogen Microsoft-produkter eller skytjenesters sårbarheder i disse undersøgelser.
De bekræftede dog, at "nationalstatsaktivitet i betydelig skala, rettet mod både regeringen og den private sektor" fandt sted, og advarede sikkerhedspersonale om at holde øje med følgende tegn:
- En indtrængen gennem ondsindet kode i SolarWinds Orion-produktet. Dette resulterer i, at angriberen får fodfæste i netværket, som angriberen kan bruge til at få forhøjede legitimationsoplysninger. Microsoft Defender har nu registreringer for disse filer. Se også SolarWinds sikkerhedsrådgivning.
- En ubuden gæst bruger administrative tilladelser erhvervet gennem et on-premises kompromis for at få adgang til en organisations betroede SAML token-signeringscertifikat. Dette sætter dem i stand til at forfalske SAML-tokens, der efterligner enhver af organisationens eksisterende brugere og konti, herunder meget privilegerede konti.
- Unormale logins ved hjælp af SAML-tokens oprettet af et kompromitteret token-signeringscertifikat, som kan bruges mod alle lokale ressourcer (uanset identitetssystem eller leverandør) såvel som mod ethvert cloudmiljø (uanset leverandør), fordi de er blevet konfigureret at stole på certifikatet. Fordi SAML-tokens er signeret med deres eget betroede certifikat, kan organisationen gå glip af uregelmæssighederne.
- Ved at bruge meget privilegerede konti, der er erhvervet gennem teknikken ovenfor eller på andre måder, kan angribere tilføje deres egne legitimationsoplysninger til eksisterende applikationstjenesteprincipper, hvilket gør dem i stand til at kalde API'er med den tilladelse, der er tildelt den applikation.
Microsoft bemærkede, at disse elementer ikke er til stede i alle angreb, men opfordrede administratorer til at læse deres fulde kundevejledning om de seneste nationalstaters cyberangreb her.
