Microsoft el martes revel\u00f3<\/a> que repeli\u00f3 un ataque cibern\u00e9tico organizado por un actor del estado-naci\u00f3n chino dirigido a dos docenas de organizaciones, algunas de las cuales incluyen agencias gubernamentales, en una campa\u00f1a de espionaje cibern\u00e9tico dise\u00f1ada para adquirir datos confidenciales.<\/p>\n Los ataques, que comenzaron el 15 de mayo de 2023, implicaron el acceso a cuentas de correo electr\u00f3nico que afectaron a aproximadamente 25 entidades y una peque\u00f1a cantidad de cuentas de consumidores individuales relacionadas.<\/p>\n El gigante tecnol\u00f3gico atribuy\u00f3 la campa\u00f1a a Storm-0558 y la describi\u00f3 como un grupo de actividad de un estado-naci\u00f3n con sede en China que destaca principalmente a las agencias gubernamentales en Europa Occidental.<\/p>\n “Se centran en el espionaje, el robo de datos y el acceso a credenciales”, Microsoft dicho<\/a>. “Tambi\u00e9n se sabe que usan malware personalizado que Microsoft rastrea como Cigril y Bling, para acceder a las credenciales”.<\/p>\n Se dice que la infracci\u00f3n se detect\u00f3 un mes despu\u00e9s, el 16 de junio de 2023, despu\u00e9s de que un cliente no identificado informara a la empresa sobre la actividad an\u00f3mala del correo electr\u00f3nico.<\/p>\n Microsoft dijo que notific\u00f3 a todas las organizaciones objetivo o comprometidas directamente a trav\u00e9s de sus administradores de inquilinos. No nombr\u00f3 las organizaciones y agencias afectadas y la cantidad de cuentas que pueden haber sido pirateadas.<\/p>\n Sin embargo, seg\u00fan el Washington Post, los atacantes tambi\u00e9n irrumpieron en<\/a> varias cuentas de correo electr\u00f3nico estadounidenses no clasificadas.<\/p>\n El acceso a las cuentas de correo electr\u00f3nico de los clientes, seg\u00fan Redmond, se facilit\u00f3 a trav\u00e9s de Outlook Web Access en Exchange Online (OWA) y Outlook.com al falsificar tokens de autenticaci\u00f3n.<\/p>\n “El actor us\u00f3 un clave MSA<\/a> para falsificar tokens para acceder a OWA y Outlook.com”, explic\u00f3. “Las claves de MSA (consumidor) y las claves de Azure AD (empresa) se emiten y administran desde sistemas separados y solo deben ser v\u00e1lidas para sus respectivos sistemas”.<\/p>\n “El actor aprovech\u00f3 un problema de validaci\u00f3n de tokens para hacerse pasar por usuarios de Azure AD y obtener acceso al correo empresarial”.<\/p>\n Prot\u00e9jase contra las amenazas internas: Domine la gesti\u00f3n de la postura de seguridad de SaaS<\/p>\n <\/a><\/p>\n \u00bfPreocupado por las amenazas internas? \u00a1Te tenemos cubierto! \u00danase a este seminario web para explorar estrategias pr\u00e1cticas y los secretos de la seguridad proactiva con SaaS Security Posture Management.<\/p>\n \u00danete hoy<\/a><\/section>\n No hay evidencia de que el actor de amenazas haya usado claves de Azure AD o cualquier otra clave de MSA para llevar a cabo los ataques. Desde entonces, Microsoft bloque\u00f3 el uso de tokens firmados con la clave MSA adquirida en OWA para mitigar el ataque.<\/p>\n “Este tipo de adversario motivado por el espionaje busca abusar de las credenciales y obtener acceso a los datos que residen en sistemas confidenciales”, Charlie Bell, vicepresidente ejecutivo de Microsoft Security, dicho<\/a>.<\/p>\n La divulgaci\u00f3n se produce m\u00e1s de un mes despu\u00e9s de que Microsoft expusiera los ataques de infraestructura cr\u00edtica montados por un colectivo adversario chino llamado Volt Typhoon (tambi\u00e9n conocido como Bronze Silhouette o Vanguard Panda) dirigido a los EE. UU.<\/p>\n <\/p>\n