Se dice que el reciente ataque contra la infraestructura de correo electr\u00f3nico de Microsoft por parte de un actor del estado-naci\u00f3n chino conocido como Storm-0558 tiene un alcance m\u00e1s amplio de lo que se pensaba anteriormente.<\/p>\n
Seg\u00fan la empresa de seguridad en la nube Wiz, la clave de firma del consumidor de la cuenta de Microsoft (MSA) inactiva utilizada para falsificar tokens de Azure Active Directory (Azure AD o AAD) para obtener acceso il\u00edcito a Outlook Web Access (OWA) y Outlook.com tambi\u00e9n podr\u00eda haber permitido al adversario falsificar tokens de acceso para varios tipos de aplicaciones de Azure AD.<\/p>\n
Este incluye<\/a> todas las aplicaciones que admitan la autenticaci\u00f3n de cuentas personales, como OneDrive, SharePoint y Teams; aplicaciones de clientes que admitan la funci\u00f3n “Iniciar sesi\u00f3n con Microsoft” y aplicaciones multiusuario en determinadas condiciones.<\/p>\n “Todo en el mundo de Microsoft aprovecha los tokens de autenticaci\u00f3n de Azure Active Directory para el acceso”, dijo Ami Luttwak, directora de tecnolog\u00eda y cofundadora de Wiz, en un comunicado. “Un atacante con una clave de firma AAD es el atacante m\u00e1s poderoso que pueda imaginar, porque puede acceder a casi cualquier aplicaci\u00f3n, como cualquier usuario. Esta es una superpotencia de ‘cambio de forma'”.<\/p>\n Microsoft, la semana pasada, revel\u00f3 que la t\u00e9cnica de falsificaci\u00f3n de tokens fue explotada por Storm-0558 para extraer datos no clasificados de los buzones de las v\u00edctimas, pero se desconocen los contornos exactos de la campa\u00f1a de espionaje cibern\u00e9tico.<\/p>\n El fabricante de Windows dijo que todav\u00eda est\u00e1 investigando c\u00f3mo el adversario logr\u00f3 adquirir la clave de firma del consumidor de MSA. Pero no est\u00e1 claro si la clave funcion\u00f3 como una especie de clave maestra para desbloquear el acceso a los datos pertenecientes a casi dos docenas de organizaciones.<\/p>\n El an\u00e1lisis de Wiz llena algunos de los espacios en blanco y la empresa descubre que “todas las aplicaciones de cuentas personales de Azure v2.0 dependen de una lista de 8 claves p\u00fablicas<\/a>y todas las aplicaciones multiusuario v2.0 de Azure con la cuenta de Microsoft habilitada dependen de una lista de 7 claves p\u00fablicas<\/a>.”<\/p>\n Adem\u00e1s, descubri\u00f3 que Microsoft reemplaz\u00f3 una de las claves p\u00fablicas enumeradas (huella digital: “d4b4cccda9228624656bff33d8110955779632aa”) que hab\u00eda estado presente desde al menos 2016<\/a> en alg\u00fan momento entre el 27 de junio de 2023 y el 5 de julio de 2023, aproximadamente el mismo per\u00edodo en que la compa\u00f1\u00eda dijo que hab\u00eda revocado la clave de MSA.<\/p>\n “Esto nos llev\u00f3 a creer que aunque la clave comprometida adquirida por Storm-0558 era una clave privada dise\u00f1ada para el arrendatario MSA de Microsoft en Azure, tambi\u00e9n pod\u00eda firmar tokens OpenID v2.0 para m\u00faltiples tipos de aplicaciones de Azure Active Directory”, dijo Wiz.<\/p>\n Prot\u00e9jase contra las amenazas internas: Domine la gesti\u00f3n de la postura de seguridad de SaaS<\/p>\n <\/a><\/p>\n \u00bfPreocupado por las amenazas internas? \u00a1Te tenemos cubierto! \u00danase a este seminario web para explorar estrategias pr\u00e1cticas y los secretos de la seguridad proactiva con SaaS Security Posture Management.<\/p>\n![\"Directorio](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEghUDgoU-VKCs9ViiHpRNmx3Upb_pPJtFJCdNWm0TwxGOyEsxJ4ZGEXJWoahYOjL2_5PjzsadjnIZ1L3Jw87COYyBVCMMLrJRFbklaaZFK4pdP3L6bDS-4VasUlVvCClB0DwJiO2li7_HgT5sUVWiJXXKCTGHz3wliFOvdqdzquUfvZMuYDw8dI-TnGFxVn\/s728-e3650\/wiz.jpg\" "\\"Directorio")
<\/div>\n