A Microsoft tagadja a platformjuk elleni sikeres támadás bizonyítékát

Tegnap beszámoltunk azokról az állításokról Hackerek visszaéltek a Microsoft Microsoft 365 platformjával, hogy kémkedjenek az Egyesült Államok Pénzügyminisztériuma után.

A Microsoft így válaszolt útmutató közzététele adminisztrátoroknak „potenciális rosszindulatú tevékenységek felkutatása és mérséklése”.

Ugyanakkor tagadták, hogy a Microsoft felhője veszélybe került volna, mondván:

Arról is szeretnénk megnyugtatni ügyfeleinket, hogy a vizsgálatok során nem azonosítottunk Microsoft-termékek vagy felhőszolgáltatások sebezhetőségét.

Megerősítették azonban, hogy „jelentős léptékű, a kormányt és a magánszektort célzó nemzetállami tevékenység” zajlik, és figyelmeztették a biztonsági személyzetet, hogy figyeljenek a következő jelekre:

• Behatolás rosszindulatú kódon keresztül a SolarWinds Orion termékbe. Ez azt eredményezi, hogy a támadó megveti a lábát a hálózatban, amelyet a támadó magasabb szintű hitelesítési adatok megszerzésére használhat fel. A Microsoft Defender mostantól észleli ezeket a fájlokat. Továbbá lásd SolarWinds biztonsági figyelmeztetés.
• Egy behatoló, aki egy helyszíni feltöréssel szerzett adminisztrátori engedélyeket használ, hogy hozzáférjen a szervezet megbízható SAML-jogkivonat-aláíró tanúsítványához. Ez lehetővé teszi számukra, hogy olyan SAML-jogkivonatokat hamisítsanak, amelyek a szervezet bármely meglévő felhasználóját és fiókját kiadják, beleértve a kiemelten jogosult fiókokat is.
• Rendellenes bejelentkezések olyan SAML-jogkivonatokkal, amelyeket egy feltört token-aláíró tanúsítvány hozott létre, amely bármely helyszíni erőforrás ellen használható (az identitásrendszertől vagy szállítótól függetlenül), valamint bármely felhőkörnyezet ellen (szállítótól függetlenül), mert be vannak konfigurálva hogy megbízzon a tanúsítványban. Mivel az SAML-tokenek saját megbízható tanúsítványukkal vannak aláírva, előfordulhat, hogy a szervezet figyelmen kívül hagyja az anomáliákat.
• A fenti technikával vagy más módon megszerzett kiemelten jogosult fiókok használatával a támadók hozzáadhatják saját hitelesítési adataikat a meglévő alkalmazásszolgáltatási tagokhoz, lehetővé téve számukra az API-k meghívását az adott alkalmazáshoz rendelt engedéllyel.

A Microsoft megjegyezte, hogy ezek az elemek nincsenek jelen minden támadásban, de felszólította az adminisztrátorokat, hogy olvassák el őket Útmutató az ügyfeleknek a közelmúltbeli nemzetállami kibertámadásokról itt.