Microsoft popiera „dôkazy o úspešnom útoku“ proti ich platforme
2 min. čítať
Publikované dňa
Zdieľajte tento článok
Vylepšite túto príručku
Prečítajte si našu informačnú stránku a zistite, ako môžete pomôcť MSPoweruser udržať redakčný tím Čítaj viac
Včera sme informovali o obvineniach, že Platformu Microsoft 365 od Microsoftu zneužili hackeri na špehovanie amerického ministerstva financií.
Spoločnosť Microsoft odpovedala zverejnenie príručky pre správcov „nájsť a zmierniť potenciálnu škodlivú aktivitu“.
Popreli však, že by bol cloud Microsoftu kompromitovaný, a uviedli:
Chceme tiež uistiť našich zákazníkov, že sme pri týchto vyšetrovaniach nezistili žiadne slabé miesta produktov alebo cloudových služieb spoločnosti Microsoft.
Potvrdili však, že prebieha „činnosť národného štátu vo významnom rozsahu, zameraná na vládny aj súkromný sektor“, a varovali bezpečnostných pracovníkov, aby si všímali nasledujúce príznaky:
- Vniknutie prostredníctvom škodlivého kódu do produktu SolarWinds Orion. Výsledkom je, že útočník získa oporu v sieti, ktorú môže útočník použiť na získanie zvýšených poverení. Microsoft Defender má teraz detekciu týchto súborov. Tiež, pozri Bezpečnostné poradenstvo SolarWinds.
- Narušiteľ využívajúci oprávnenia správcu získané prostredníctvom lokálneho kompromisu na získanie prístupu k dôveryhodnému certifikátu na podpisovanie tokenov SAML organizácie. To im umožňuje falšovať tokeny SAML, ktoré sa vydávajú za ktoréhokoľvek z existujúcich používateľov a účtov organizácie vrátane vysoko privilegovaných účtov.
- Neobvyklé prihlásenia pomocou tokenov SAML vytvorených kompromitovaným certifikátom na podpisovanie tokenov, ktoré možno použiť proti akýmkoľvek lokálnym zdrojom (bez ohľadu na systém identity alebo dodávateľa), ako aj proti akémukoľvek cloudovému prostrediu (bez ohľadu na dodávateľa), pretože boli nakonfigurované dôverovať certifikátu. Pretože tokeny SAML sú podpísané vlastným dôveryhodným certifikátom, organizácia môže prehliadnuť anomálie.
- Pomocou vysoko privilegovaných účtov získaných pomocou vyššie uvedenej techniky alebo inými spôsobmi môžu útočníci pridať svoje vlastné poverenia do existujúcich principálov aplikačných služieb, čo im umožní volať rozhrania API s oprávnením priradeným danej aplikácii.
Microsoft poznamenal, že tieto prvky nie sú prítomné pri každom útoku, no vyzval správcov, aby si ich prečítali celé zákaznícke poradenstvo o nedávnych kybernetických útokoch národných štátov nájdete tu.
