Microsoft a annonc\u00e9 mardi avoir pris des mesures pour d\u00e9sactiver les faux comptes Microsoft Partner Network (MPN) utilis\u00e9s pour cr\u00e9er des programmes malveillants. OAuth<\/a> applications dans le cadre d’une campagne malveillante con\u00e7ue pour violer les environnements cloud des organisations et voler des e-mails.<\/p>\n “Les applications cr\u00e9\u00e9es par ces acteurs frauduleux ont ensuite \u00e9t\u00e9 utilis\u00e9es dans une campagne de phishing par consentement, qui a incit\u00e9 les utilisateurs \u00e0 accorder des autorisations aux applications frauduleuses”, a d\u00e9clar\u00e9 le g\u00e9ant de la technologie. m’a dit<\/a>. “Cette campagne de phishing ciblait un sous-ensemble de clients principalement bas\u00e9s au Royaume-Uni et en Irlande.”<\/p>\n L’hame\u00e7onnage par consentement est un attaque d’ing\u00e9nierie sociale<\/a> o\u00f9 les utilisateurs sont amen\u00e9s \u00e0 accorder des autorisations \u00e0 des applications cloud malveillantes, qui peuvent ensuite \u00eatre militaris\u00e9es pour acc\u00e9der \u00e0 des services cloud l\u00e9gitimes et \u00e0 des donn\u00e9es utilisateur sensibles.<\/p>\n Le fabricant de Windows a d\u00e9clar\u00e9 avoir pris connaissance de la campagne le 15 d\u00e9cembre 2022. Il a depuis alert\u00e9 les clients concern\u00e9s par e-mail, la soci\u00e9t\u00e9 notant que les acteurs de la menace ont abus\u00e9 du consentement pour exfiltrer les bo\u00eetes aux lettres.<\/p>\n En plus de cela, Microsoft a d\u00e9clar\u00e9 avoir mis en place des mesures de s\u00e9curit\u00e9 suppl\u00e9mentaires pour am\u00e9liorer le processus de v\u00e9rification associ\u00e9 au Programme de partenariat Microsoft Cloud<\/a> (anciennement MPN) et minimiser le potentiel de fraude \u00e0 l’avenir.<\/p>\n La divulgation co\u00efncide avec un rapport lib\u00e9r\u00e9<\/a> par Proofpoint sur la fa\u00e7on dont les pirates ont exploit\u00e9 avec succ\u00e8s “\u00e9diteur v\u00e9rifi\u00e9<\/a>” statut pour infiltrer les environnements cloud des organisations.<\/p>\n Ce qui est remarquable \u00e0 propos de la campagne, c’est qu’en imitant les marques populaires, elle a \u00e9galement r\u00e9ussi \u00e0 tromper Microsoft afin d’obtenir le badge bleu v\u00e9rifi\u00e9. “L’acteur a utilis\u00e9 des comptes partenaires frauduleux pour ajouter un \u00e9diteur v\u00e9rifi\u00e9 aux enregistrements d’applications OAuth qu’ils ont cr\u00e9\u00e9s dans Azure AD”, a expliqu\u00e9 la soci\u00e9t\u00e9.<\/p>\n Ces attaques, qui ont \u00e9t\u00e9 observ\u00e9es pour la premi\u00e8re fois le 6 d\u00e9cembre 2022, utilisaient des versions similaires d’applications l\u00e9gitimes comme Zoom pour tromper les cibles en autorisant l’acc\u00e8s et faciliter le vol de donn\u00e9es. Les cibles comprenaient les finances, le marketing, les gestionnaires et les cadres sup\u00e9rieurs.<\/p>\n Proofpoint a not\u00e9 que les applications OAuth malveillantes avaient des “autorisations d\u00e9l\u00e9gu\u00e9es \u00e9tendues” telles que la lecture des e-mails, l’ajustement des param\u00e8tres de la bo\u00eete aux lettres et l’acc\u00e8s aux fichiers et autres donn\u00e9es connect\u00e9s au compte de l’utilisateur.<\/p>\n Il a \u00e9galement dit que contrairement \u00e0 un campagne pr\u00e9c\u00e9dente<\/a> qui ont compromis les \u00e9diteurs v\u00e9rifi\u00e9s par Microsoft existants pour tirer parti des privil\u00e8ges des applications OAuth, les derni\u00e8res attaques sont con\u00e7ues pour se faire passer pour des \u00e9diteurs l\u00e9gitimes afin qu’ils soient v\u00e9rifi\u00e9s et distribuent les applications malveillantes.<\/p>\n Deux des applications en question ont \u00e9t\u00e9 nomm\u00e9es “Single Sign-on (SSO)”, tandis que la troisi\u00e8me application s’appelait “Meeting” dans une tentative de se faire passer pour un logiciel de visioconf\u00e9rence. Les trois applications, cr\u00e9\u00e9es par trois \u00e9diteurs diff\u00e9rents, ciblaient les m\u00eames entreprises et exploitaient la m\u00eame infrastructure contr\u00f4l\u00e9e par les attaquants.<\/p>\n “L’impact potentiel sur les organisations comprend les comptes d’utilisateurs compromis, l’exfiltration de donn\u00e9es, l’abus de marque d’organisations usurp\u00e9es, la fraude par compromission des e-mails professionnels (BEC) et l’abus de bo\u00eetes aux lettres”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 d’entreprise.<\/p>\n La campagne aurait pris fin le 27 d\u00e9cembre 2022, apr\u00e8s que Proofpoint a inform\u00e9 Microsoft de l’attaque du 20 d\u00e9cembre et que les applications ont \u00e9t\u00e9 d\u00e9sactiv\u00e9es.<\/p>\n Les r\u00e9sultats d\u00e9montrent la sophistication qui a \u00e9t\u00e9 n\u00e9cessaire pour monter l’attaque, sans parler du contournement des protections de s\u00e9curit\u00e9 de Microsoft et de l’abus de la confiance que les utilisateurs placent dans les fournisseurs et les fournisseurs de services de l’entreprise.<\/p>\n Ce n’est pas la premi\u00e8re fois que de fausses applications OAuth sont utilis\u00e9es pour cibler les services cloud de Microsoft. En janvier 2022, Proofpoint a d\u00e9taill\u00e9 une autre activit\u00e9 de menace appel\u00e9e OiVaVoii<\/a> qui visaient des cadres de haut niveau pour prendre le contr\u00f4le de leurs comptes.<\/p>\n Puis, en septembre 2022, Microsoft a r\u00e9v\u00e9l\u00e9 avoir d\u00e9mantel\u00e9 une attaque qui utilisait des applications OAuth malveillantes d\u00e9ploy\u00e9es sur des locataires cloud compromis pour finalement prendre le contr\u00f4le des serveurs Exchange et distribuer du spam.<\/p>\n <\/p>\n![\"Piratage](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/02\/1675238625_565_Les-pirates-ont-abuse-de-Microsoft-quotEditeur-verifiequot-Applications-OAuth.png\" "\\"Piratage")
<\/div>\n