Microsoft neagă „dovezile unui atac de succes” împotriva platformei sale

Am raportat ieri despre acuzațiile că Platforma Microsoft 365 a Microsoft a fost abuzată de hackeri pentru a spiona Departamentul Trezoreriei SUA.

Microsoft a răspuns prin postarea unui ghid pentru administratori „pentru a găsi și a atenua activitățile potențiale rău intenționate”.

Ei, totuși, au negat că cloud-ul Microsoft a fost compromis, spunând:

De asemenea, dorim să asigurăm clienții noștri că nu am identificat niciun produs Microsoft sau vulnerabilități ale serviciului cloud în aceste investigații.

Aceștia au confirmat totuși că are loc „activitate de stat național la scară semnificativă, care vizează atât sectorul guvernamental, cât și sectorul privat” și au avertizat personalul de securitate să aibă grijă de următoarele semne:

• O intruziune prin cod rău intenționat în produsul SolarWinds Orion. Acest lucru are ca rezultat ca atacatorul să câștige un punct de sprijin în rețea, pe care atacatorul îl poate folosi pentru a obține acreditări ridicate. Microsoft Defender are acum detectări pentru aceste fișiere. De asemenea, vezi Aviz de securitate SolarWinds.
• Un intrus care folosește permisiunile administrative obținute printr-un compromis la nivel local pentru a obține acces la certificatul de semnare de simbol SAML de încredere al unei organizații. Acest lucru le permite să falsifice jetoane SAML care uzurpă identitatea oricăruia dintre utilizatorii și conturile existente ale organizației, inclusiv conturile cu privilegii înalte.
• Autentificări anormale folosind jetoanele SAML create de un certificat de semnare de token compromis, care poate fi utilizat împotriva oricăror resurse locale (indiferent de sistemul de identitate sau furnizor), precum și împotriva oricărui mediu cloud (indiferent de furnizor), deoarece au fost configurate pentru a avea încredere în certificat. Deoarece jetoanele SAML sunt semnate cu propriul certificat de încredere, anomaliile ar putea fi ratate de către organizație.
• Folosind conturi cu privilegii înalte dobândite prin tehnica de mai sus sau prin alte mijloace, atacatorii își pot adăuga propriile acreditări la directorii de servicii de aplicații existente, permițându-le să apeleze API-uri cu permisiunea atribuită aplicației respective.

Microsoft a remarcat că aceste elemente nu sunt prezente în fiecare atac, dar a îndemnat administratorii să le citească integral îndrumări pentru clienți cu privire la recentele atacuri cibernetice ale statelor naționale aici.