Une agence anonyme de la Federal Civilian Executive Branch (FCEB) aux \u00c9tats-Unis a d\u00e9tect\u00e9 une activit\u00e9 de messagerie anormale \u00e0 la mi-juin 2023, ce qui a conduit Microsoft \u00e0 d\u00e9couvrir une nouvelle campagne d’espionnage li\u00e9e \u00e0 la Chine ciblant deux douzaines d’organisations.<\/p>\n
Les d\u00e9tails proviennent d’un avis conjoint sur la cybers\u00e9curit\u00e9 publi\u00e9 par la US Cybersecurity and Infrastructure Security Agency (CISA) et le Federal Bureau of Investigation (FBI) le 12 juillet 2023.<\/p>\n
“En juin 2023, une agence du Federal Civilian Executive Branch (FCEB) a identifi\u00e9 une activit\u00e9 suspecte dans son environnement cloud Microsoft 365 (M365)”, ont d\u00e9clar\u00e9 les autorit\u00e9s. a dit<\/a>. “Microsoft a d\u00e9termin\u00e9 que les acteurs de la menace persistante avanc\u00e9e (APT) ont acc\u00e9d\u00e9 et exfiltr\u00e9 des donn\u00e9es Exchange Online Outlook non classifi\u00e9es.”<\/p>\n Bien que le nom de l’agence gouvernementale n’ait pas \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9, CNN<\/a> et le Washington Post<\/a> a rapport\u00e9 qu’il s’agissait du d\u00e9partement d’\u00c9tat am\u00e9ricain, citant des personnes proches du dossier. Le d\u00e9partement du commerce ainsi que les comptes de messagerie appartenant \u00e0 un membre du Congr\u00e8s, \u00e0 un d\u00e9fenseur des droits de l’homme am\u00e9ricain et \u00e0 des groupes de r\u00e9flexion am\u00e9ricains \u00e9taient \u00e9galement cibl\u00e9s. Le nombre d’organisations concern\u00e9es aux \u00c9tats-Unis est estim\u00e9<\/a> \u00eatre \u00e0 un seul chiffre.<\/p>\n La divulgation intervient un jour apr\u00e8s que le g\u00e9ant de la technologie a attribu\u00e9 la campagne \u00e0 un “acteur mena\u00e7ant bas\u00e9 en Chine” \u00e9mergent qu’il suit sous le nom de Storm-0558, qui cible principalement les agences gouvernementales d’Europe occidentale et se concentre sur l’espionnage et le vol de donn\u00e9es. Les preuves recueillies jusqu’\u00e0 pr\u00e9sent montrent que l’activit\u00e9 malveillante a commenc\u00e9 un mois plus t\u00f4t avant d’\u00eatre d\u00e9tect\u00e9e.<\/p>\n La Chine, cependant, a rejet\u00e9 les accusations selon lesquelles elle \u00e9tait \u00e0 l’origine de l’incident de piratage, appel<\/a> les \u00c9tats-Unis “le plus grand empire de piratage au monde et cybervoleur mondial” et qu’il est “grand temps que les \u00c9tats-Unis expliquent leurs activit\u00e9s de cyberattaque et cessent de diffuser de la d\u00e9sinformation pour d\u00e9tourner l’attention du public”.<\/p>\n La cha\u00eene d’attaque impliquait que les cyberespions exploitent de faux jetons d’authentification pour acc\u00e9der aux comptes de messagerie des clients \u00e0 l’aide d’Outlook Web Access dans Exchange Online (OWA) et Outlook.com. Les jetons ont \u00e9t\u00e9 falsifi\u00e9s \u00e0 l’aide d’une cl\u00e9 de signature de consommateur de compte Microsoft (MSA) acquise. La m\u00e9thode exacte par laquelle la cl\u00e9 a \u00e9t\u00e9 s\u00e9curis\u00e9e reste floue.<\/p>\n Bouclier contre les menaces internes\u00a0: ma\u00eetriser la gestion de la posture de s\u00e9curit\u00e9 SaaS<\/p>\n <\/a><\/p>\n Inquiet des menaces internes ? Nous avons ce qu’il vous faut! Rejoignez ce webinaire pour explorer les strat\u00e9gies pratiques et les secrets de la s\u00e9curit\u00e9 proactive avec la gestion de la posture de s\u00e9curit\u00e9 SaaS.<\/p>\n Joignez aujourd’hui<\/a><\/section>\n Storm-0558 utilise \u00e9galement deux outils malveillants personnalis\u00e9s nomm\u00e9s Bling et Cigril<\/a>ce dernier a \u00e9t\u00e9 caract\u00e9ris\u00e9 comme un cheval de Troie qui d\u00e9crypte les fichiers crypt\u00e9s et les ex\u00e9cute directement \u00e0 partir de la m\u00e9moire syst\u00e8me afin d’\u00e9viter la d\u00e9tection.<\/p>\n La CISA a d\u00e9clar\u00e9 que l’agence FCEB \u00e9tait en mesure d’identifier la violation en tirant parti de la journalisation am\u00e9lior\u00e9e dans Microsoft Purview Audit, en utilisant sp\u00e9cifiquement le \u00c9l\u00e9ments de courrier acc\u00e9d\u00e9s<\/a> action d’audit de bo\u00eete aux lettres.<\/p>\n L’agence recommande en outre aux organisations d’activer la journalisation Purview Audit (Premium), d’activer la journalisation d’audit unifi\u00e9e Microsoft 365 (UAL<\/a>), et assurez-vous que les journaux peuvent \u00eatre recherch\u00e9s par les op\u00e9rateurs pour permettre la recherche de ce type d’activit\u00e9 et le diff\u00e9rencier du comportement attendu dans l’environnement.<\/p>\n “Les organisations sont encourag\u00e9es \u00e0 rechercher des valeurs aberrantes et \u00e0 se familiariser avec les mod\u00e8les de base pour mieux comprendre le trafic anormal par rapport au trafic normal”, ont ajout\u00e9 la CISA et le FBI.<\/p>\n <\/p>\n