Microsoft menyangkal "bukti keberhasilan serangan" terhadap platform mereka

Kami melaporkan kemarin atas tuduhan bahwa Platform Microsoft 365 Microsoft disalahgunakan oleh peretas untuk memata-matai Departemen Keuangan AS.

Microsoft telah merespons dengan memposting panduan untuk admin "untuk menemukan dan mengurangi potensi aktivitas berbahaya".

Namun, mereka membantah bahwa cloud Microsoft telah disusupi, dengan mengatakan:

Kami juga ingin meyakinkan pelanggan kami bahwa kami belum mengidentifikasi kerentanan produk Microsoft atau layanan cloud apa pun dalam penyelidikan ini.

Mereka, bagaimanapun, mengkonfirmasi bahwa “aktivitas negara-bangsa pada skala signifikan, yang ditujukan untuk pemerintah dan sektor swasta” sedang berlangsung, dan memperingatkan staf keamanan untuk memperhatikan tanda-tanda berikut:

• Penyusupan melalui kode berbahaya dalam produk SolarWinds Orion. Hal ini menyebabkan penyerang mendapatkan pijakan di jaringan, yang dapat digunakan penyerang untuk mendapatkan kredensial yang ditingkatkan. Microsoft Defender sekarang memiliki deteksi untuk file-file ini. Lihat juga Saran Keamanan SolarWinds.
• Penyusup yang menggunakan izin administratif yang diperoleh melalui kompromi lokal untuk mendapatkan akses ke sertifikat penandatanganan token SAML tepercaya organisasi. Hal ini memungkinkan mereka untuk memalsukan token SAML yang meniru salah satu pengguna dan akun organisasi yang ada, termasuk akun dengan hak istimewa tinggi.
• Login anomali menggunakan token SAML yang dibuat oleh sertifikat penandatanganan token yang disusupi, yang dapat digunakan terhadap semua sumber daya lokal (terlepas dari sistem identitas atau vendor) serta terhadap lingkungan cloud apa pun (terlepas dari vendor) karena telah dikonfigurasi untuk mempercayai sertifikat. Karena token SAML ditandatangani dengan sertifikat tepercaya mereka sendiri, anomali tersebut mungkin terlewatkan oleh organisasi.
• Dengan menggunakan akun dengan hak istimewa tinggi yang diperoleh melalui teknik di atas atau cara lain, penyerang dapat menambahkan kredensial mereka sendiri ke prinsipal layanan aplikasi yang ada, memungkinkan mereka memanggil API dengan izin yang ditetapkan untuk aplikasi tersebut.

Microsoft mencatat bahwa elemen-elemen ini tidak ada di setiap serangan, tetapi mendesak admin untuk membaca selengkapnya panduan pelanggan tentang serangan cyber negara-bangsa baru-baru ini di sini.