Microsoft benekter "bevis på vellykket angrep" mot deres plattform
2 min. lese
Publisert på
Del denne artikkelen
Forbedre denne veiledningen
Les vår avsløringsside for å finne ut hvordan du kan hjelpe MSPoweruser opprettholde redaksjonen Les mer
Vi rapporterte i går om påstander om det Microsofts Microsoft 365-plattform ble misbrukt av hackere for å spionere på det amerikanske finansdepartementet.
Microsoft har svart med legge ut en veiledning for administratorer "for å finne og redusere potensiell ondsinnet aktivitet".
De benektet imidlertid at Microsofts sky ble kompromittert, og sa:
Vi ønsker også å forsikre våre kunder om at vi ikke har identifisert noen Microsoft-produkter eller skytjenesters sårbarheter i disse undersøkelsene.
De bekreftet imidlertid at «nasjonalstatlig aktivitet i betydelig skala, rettet mot både regjeringen og privat sektor» fant sted, og advarte sikkerhetspersonell om å se etter følgende tegn:
- Et inntrenging gjennom ondsinnet kode i SolarWinds Orion-produktet. Dette resulterer i at angriperen får fotfeste i nettverket, som angriperen kan bruke for å få forhøyet legitimasjon. Microsoft Defender har nå gjenkjenninger for disse filene. Se også SolarWinds sikkerhetsrådgivning.
- En inntrenger som bruker administrative tillatelser anskaffet gjennom et kompromiss på stedet for å få tilgang til en organisasjons pålitelige SAML-tokensigneringssertifikat. Dette gjør dem i stand til å forfalske SAML-tokens som utgir seg for å være noen av organisasjonens eksisterende brukere og kontoer, inkludert svært privilegerte kontoer.
- Unormale pålogginger med SAML-tokener opprettet av et kompromittert token-signeringssertifikat, som kan brukes mot alle lokale ressurser (uavhengig av identitetssystem eller leverandør) så vel som mot ethvert skymiljø (uavhengig av leverandør) fordi de er konfigurert å stole på sertifikatet. Fordi SAML-tokenene er signert med sitt eget klarerte sertifikat, kan organisasjonen gå glipp av uregelmessighetene.
- Ved å bruke svært privilegerte kontoer anskaffet gjennom teknikken ovenfor eller andre måter, kan angripere legge til sin egen legitimasjon til eksisterende applikasjonstjenesteprinsipper, slik at de kan kalle opp APIer med tillatelsen som er tildelt den applikasjonen.
Microsoft bemerket at disse elementene ikke er tilstede i hvert angrep, men oppfordret administratorer til å lese hele kundeveiledning om de nylige nasjonale cyberangrepene her.
