Microsoft mardi r\u00e9v\u00e9l\u00e9<\/a> qu’il a repouss\u00e9 une cyberattaque organis\u00e9e par un acteur de l’\u00c9tat-nation chinois ciblant deux douzaines d’organisations, dont certaines comprennent des agences gouvernementales, dans une campagne de cyberespionnage con\u00e7ue pour acqu\u00e9rir des donn\u00e9es confidentielles.<\/p>\n Les attaques, qui ont commenc\u00e9 le 15 mai 2023, impliquaient l’acc\u00e8s \u00e0 des comptes de messagerie affectant environ 25 entit\u00e9s et un petit nombre de comptes de consommateurs individuels associ\u00e9s.<\/p>\n Le g\u00e9ant de la technologie a attribu\u00e9 la campagne \u00e0 Storm-0558, la d\u00e9crivant comme un groupe d’activit\u00e9s d’\u00c9tat-nation bas\u00e9 en Chine qui cible principalement les agences gouvernementales d’Europe occidentale.<\/p>\n “Ils se concentrent sur l’espionnage, le vol de donn\u00e9es et l’acc\u00e8s aux informations d’identification”, Microsoft a dit<\/a>. “Ils sont \u00e9galement connus pour utiliser des logiciels malveillants personnalis\u00e9s que Microsoft suit sous le nom de Cigril et Bling, pour l’acc\u00e8s aux informations d’identification.”<\/p>\n La violation aurait \u00e9t\u00e9 d\u00e9tect\u00e9e un mois plus tard, le 16 juin 2023, apr\u00e8s qu’un client non identifi\u00e9 ait signal\u00e9 l’activit\u00e9 anormale de courrier \u00e9lectronique \u00e0 l’entreprise.<\/p>\n Microsoft a d\u00e9clar\u00e9 avoir inform\u00e9 toutes les organisations cibl\u00e9es ou compromises directement via leurs administrateurs locataires. Il n’a pas nomm\u00e9 les organisations et agences concern\u00e9es ni le nombre de comptes susceptibles d’avoir \u00e9t\u00e9 pirat\u00e9s.<\/p>\n Cependant, selon le Washington Post, les agresseurs ont \u00e9galement fait irruption dans<\/a> un certain nombre de comptes de messagerie am\u00e9ricains non classifi\u00e9s.<\/p>\n L’acc\u00e8s aux comptes de messagerie des clients, par Redmond, a \u00e9t\u00e9 facilit\u00e9 via Outlook Web Access dans Exchange Online (OWA) et Outlook.com en falsifiant des jetons d’authentification.<\/p>\n “L’acteur a utilis\u00e9 un acquis Cl\u00e9 MSA<\/a> forger des jetons pour acc\u00e9der \u00e0 OWA et Outlook.com \u00bb, a-t-il expliqu\u00e9. \u00ab Les cl\u00e9s MSA (consommateur) et les cl\u00e9s Azure AD (entreprise) sont \u00e9mises et g\u00e9r\u00e9es \u00e0 partir de syst\u00e8mes distincts et ne doivent \u00eatre valides que pour leurs syst\u00e8mes respectifs.<\/p>\n “L’acteur a exploit\u00e9 un probl\u00e8me de validation de jeton pour se faire passer pour les utilisateurs d’Azure AD et acc\u00e9der au courrier de l’entreprise.”<\/p>\n Bouclier contre les menaces internes\u00a0: ma\u00eetriser la gestion de la posture de s\u00e9curit\u00e9 SaaS<\/p>\n <\/a><\/p>\n Inquiet des menaces internes ? Nous avons ce qu’il vous faut! Rejoignez ce webinaire pour explorer les strat\u00e9gies pratiques et les secrets de la s\u00e9curit\u00e9 proactive avec la gestion de la posture de s\u00e9curit\u00e9 SaaS.<\/p>\n Joignez aujourd’hui<\/a><\/section>\n Il n’y a aucune preuve que l’auteur de la menace a utilis\u00e9 des cl\u00e9s Azure AD ou toute autre cl\u00e9 MSA pour mener les attaques. Microsoft a depuis bloqu\u00e9 l’utilisation de jetons sign\u00e9s avec la cl\u00e9 MSA acquise dans OWA pour att\u00e9nuer l’attaque.<\/p>\n “Ce type d’adversaire motiv\u00e9 par l’espionnage cherche \u00e0 abuser des informations d’identification et \u00e0 acc\u00e9der aux donn\u00e9es r\u00e9sidant dans des syst\u00e8mes sensibles”, a d\u00e9clar\u00e9 Charlie Bell, vice-pr\u00e9sident ex\u00e9cutif de Microsoft Security, a dit<\/a>.<\/p>\n La divulgation intervient plus d’un mois apr\u00e8s que Microsoft a r\u00e9v\u00e9l\u00e9 des attaques d’infrastructures critiques mont\u00e9es par un collectif d’adversaires chinois appel\u00e9 Volt Typhoon (alias Bronze Silhouette ou Vanguard Panda) ciblant les \u00c9tats-Unis.<\/p>\n <\/p>\n