Microsoft a d\u00e9clar\u00e9 vendredi qu’une erreur de validation dans son code source permettait aux jetons Azure Active Directory (Azure AD) d’\u00eatre falsifi\u00e9s par un acteur malveillant connu sous le nom de Storm-0558 utilisant une cl\u00e9 de signature client Microsoft (MSA) pour violer deux douzaines d’organisations.<\/p>\n
“Storm-0558 a acquis une cl\u00e9 de signature client MSA inactive et l’a utilis\u00e9e pour forger des jetons d’authentification pour Azure AD entreprise et MSA consommateur pour acc\u00e9der \u00e0 OWA et Outlook.com”, a d\u00e9clar\u00e9 le g\u00e9ant de la technologie. a dit<\/a> dans une analyse plus approfondie de la campagne. “La m\u00e9thode par laquelle l’acteur a acquis la cl\u00e9 fait l’objet d’une enqu\u00eate en cours.”<\/p>\n “Bien que la cl\u00e9 ne soit destin\u00e9e qu’aux comptes MSA, un probl\u00e8me de validation a permis de faire confiance \u00e0 cette cl\u00e9 pour la signature des jetons Azure AD. Ce probl\u00e8me a \u00e9t\u00e9 corrig\u00e9.”<\/p>\n Il n’est pas imm\u00e9diatement clair si le probl\u00e8me de validation de jeton a \u00e9t\u00e9 exploit\u00e9 comme une “vuln\u00e9rabilit\u00e9 du jour z\u00e9ro” ou si Microsoft \u00e9tait d\u00e9j\u00e0 au courant du probl\u00e8me avant qu’il ne fasse l’objet d’abus dans la nature.<\/p>\n Les attaques ont cibl\u00e9 environ 25 organisations, y compris des entit\u00e9s gouvernementales et des comptes de consommateurs associ\u00e9s, pour obtenir un acc\u00e8s non autoris\u00e9 aux e-mails et exfiltrer les donn\u00e9es des bo\u00eetes aux lettres. Aucun autre environnement n’aurait \u00e9t\u00e9 impact\u00e9.<\/p>\n La port\u00e9e exacte de la violation reste incertaine, mais il s’agit du dernier exemple d’un acteur mena\u00e7ant bas\u00e9 en Chine menant des cyberattaques \u00e0 la recherche d’informations sensibles et r\u00e9ussissant un coup d’\u00c9tat furtif sans attirer l’attention pendant au moins un mois avant sa d\u00e9couverte en juin 2023.<\/p>\n La soci\u00e9t\u00e9 a \u00e9t\u00e9 inform\u00e9e de l’incident apr\u00e8s que le d\u00e9partement d’\u00c9tat am\u00e9ricain a d\u00e9tect\u00e9 une activit\u00e9 de messagerie anormale li\u00e9e \u00e0 l’acc\u00e8s aux donn\u00e9es d’Exchange Online. Storm-0558 est soup\u00e7onn\u00e9 d’\u00eatre un acteur mena\u00e7ant bas\u00e9 en Chine menant des cyberactivit\u00e9s malveillantes compatibles avec l’espionnage, bien que la Chine ait r\u00e9fut\u00e9 les all\u00e9gations.<\/p>\n Les principales cibles de l’\u00e9quipe de piratage comprennent les organes directeurs diplomatiques, \u00e9conomiques et l\u00e9gislatifs am\u00e9ricains et europ\u00e9ens, et les personnes li\u00e9es aux int\u00e9r\u00eats g\u00e9opolitiques de Ta\u00efwan et des Ou\u00efghours, ainsi que les soci\u00e9t\u00e9s de m\u00e9dias, les groupes de r\u00e9flexion et les fournisseurs d’\u00e9quipements et de services de t\u00e9l\u00e9communications.<\/p>\n On dit qu’il est actif depuis au moins ao\u00fbt 2021, orchestrant la collecte d’informations d’identification, les campagnes de phishing et les attaques de jetons OAuth visant les comptes Microsoft pour poursuivre ses objectifs.<\/p>\n “Storm-0558 fonctionne avec un degr\u00e9 \u00e9lev\u00e9 d’artisanat technique et de s\u00e9curit\u00e9 op\u00e9rationnelle”, a d\u00e9clar\u00e9 Microsoft, le d\u00e9crivant comme techniquement comp\u00e9tent, disposant de ressources suffisantes et ayant une compr\u00e9hension aigu\u00eb des diverses techniques et applications d’authentification.<\/p>\n “Les acteurs sont parfaitement conscients de l’environnement de la cible, des politiques de journalisation, des exigences d’authentification, des politiques et des proc\u00e9dures.”<\/p>\n L’acc\u00e8s initial aux r\u00e9seaux cibles est r\u00e9alis\u00e9 par le biais de l’hame\u00e7onnage et de l’exploitation des failles de s\u00e9curit\u00e9 dans les applications destin\u00e9es au public, conduisant au d\u00e9ploiement du shell Web China Chopper pour l’acc\u00e8s par porte d\u00e9rob\u00e9e et d’un outil appel\u00e9 Cigril<\/a> pour faciliter le vol d’identifiants.<\/p>\n Storm-0558 utilise \u00e9galement des scripts PowerShell et Python pour extraire des donn\u00e9es de courrier \u00e9lectronique telles que des pi\u00e8ces jointes, des informations de dossier et des conversations enti\u00e8res \u00e0 l’aide d’appels d’API Outlook Web Access (OWA).<\/p>\n Bouclier contre les menaces internes\u00a0: ma\u00eetriser la gestion de la posture de s\u00e9curit\u00e9 SaaS<\/p>\n <\/a><\/p>\n Inquiet des menaces internes ? Nous avons ce qu’il vous faut! Rejoignez ce webinaire pour explorer les strat\u00e9gies pratiques et les secrets de la s\u00e9curit\u00e9 proactive avec la gestion de la posture de s\u00e9curit\u00e9 SaaS.<\/p>\n Joignez aujourd’hui<\/a><\/section>\n Microsoft a d\u00e9clar\u00e9 que depuis la d\u00e9couverte de la campagne le 16 juin 2023, il a “identifi\u00e9 la cause premi\u00e8re, \u00e9tabli un suivi durable de la campagne, perturb\u00e9 les activit\u00e9s malveillantes, renforc\u00e9 l’environnement, inform\u00e9 chaque client impact\u00e9 et coordonn\u00e9 avec plusieurs entit\u00e9s gouvernementales”. Il a \u00e9galement not\u00e9 qu’il avait att\u00e9nu\u00e9 le probl\u00e8me “au nom des clients” \u00e0 compter du 26 juin 2023.<\/p>\n La divulgation intervient alors que Microsoft a fait face<\/a> critique<\/a> pour sa gestion du piratage et pour avoir bloqu\u00e9 des capacit\u00e9s m\u00e9dico-l\u00e9gales derri\u00e8re des barri\u00e8res de licence suppl\u00e9mentaires, emp\u00eachant ainsi les clients d’acc\u00e9der \u00e0 des journaux d’audit d\u00e9taill\u00e9s qui auraient autrement pu aider \u00e0 analyser l’incident.<\/p>\n “Faire payer aux gens des fonctionnalit\u00e9s premium n\u00e9cessaires pour ne pas se faire pirater, c’est comme vendre une voiture et ensuite facturer un suppl\u00e9ment pour les ceintures de s\u00e9curit\u00e9 et les airbags”, a d\u00e9clar\u00e9 le s\u00e9nateur am\u00e9ricain Ron Wyden. cit\u00e9<\/a> comme dit.<\/p>\n Le d\u00e9veloppement intervient alors que le comit\u00e9 parlementaire du renseignement et de la s\u00e9curit\u00e9 (ISC) du Royaume-Uni publi\u00e9<\/a> un rapport d\u00e9taill\u00e9 sur la Chine, \u00e9voquant sa “capacit\u00e9 de cyberespionnage hautement efficace” et sa capacit\u00e9 \u00e0 p\u00e9n\u00e9trer dans un large \u00e9ventail de syst\u00e8mes informatiques du gouvernement \u00e9tranger et du secteur priv\u00e9.<\/p>\n <\/p>\n![\"Microsoft\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/07\/1689406433_508_Un-bogue-Microsoft-a-permis-aux-pirates-de-penetrer-dans.jpg\" "\\"Microsoft\\"\/")
<\/div>\n