{"id":841383,"date":"2023-07-21T15:17:36","date_gmt":"2023-07-21T17:17:36","guid":{"rendered":"https:\/\/teknomers.com\/fr\/la-technique-de-forgeage-de-jetons-azure-ad-dans-microsoft-attack-setend-au-dela-doutlook-rapporte-wiz\/"},"modified":"2023-07-21T15:17:36","modified_gmt":"2023-07-21T17:17:36","slug":"la-technique-de-forgeage-de-jetons-azure-ad-dans-microsoft-attack-setend-au-dela-doutlook-rapporte-wiz","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/la-technique-de-forgeage-de-jetons-azure-ad-dans-microsoft-attack-setend-au-dela-doutlook-rapporte-wiz\/","title":{"rendered":"La technique de forgeage de jetons Azure AD dans Microsoft Attack s’\u00e9tend au-del\u00e0 d’Outlook, rapporte Wiz"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>21 juil. 2023<\/span>\ue804<\/i>THN<\/span><\/span>S\u00e9curit\u00e9 des e-mails \/ Cyberattaque<\/span><\/p>\n<\/div>\n

\n
\"Azure<\/div>\n

La r\u00e9cente attaque contre l’infrastructure de messagerie de Microsoft par un acteur d’\u00c9tat-nation chinois appel\u00e9 Storm-0558 aurait une port\u00e9e plus large qu’on ne le pensait auparavant.<\/p>\n

Selon la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 cloud Wiz, la cl\u00e9 de signature client inactive du compte Microsoft (MSA) utilis\u00e9e pour falsifier les jetons Azure Active Directory (Azure AD ou AAD) pour obtenir un acc\u00e8s illicite \u00e0 Outlook Web Access (OWA) et \u00e0 Outlook.com aurait \u00e9galement pu permettre \u00e0 l’adversaire de falsifier des jetons d’acc\u00e8s pour divers types d’applications Azure AD.<\/p>\n

Ce comprend<\/a> chaque application prenant en charge l’authentification de compte personnel, telle que OneDrive, SharePoint et Teams ; les applications des clients qui prennent en charge la \u00ab\u00a0fonctionnalit\u00e9 de connexion avec Microsoft\u00a0\u00bb et les applications multi-locataires dans certaines conditions.<\/p>\n

“Tout dans le monde de Microsoft utilise les jetons d’authentification Azure Active Directory pour l’acc\u00e8s”, a d\u00e9clar\u00e9 Ami Luttwak, directeur de la technologie et co-fondateur de Wiz, dans un communiqu\u00e9. “Un attaquant avec une cl\u00e9 de signature AAD est l’attaquant le plus puissant que vous puissiez imaginer, car il peut acc\u00e9der \u00e0 presque n’importe quelle application – comme n’importe quel utilisateur. Il s’agit d’une superpuissance de “changement de forme”.<\/p>\n

<\/center><\/section>\n

Microsoft, la semaine derni\u00e8re, a r\u00e9v\u00e9l\u00e9 que la technique de forgeage de jetons \u00e9tait exploit\u00e9e par Storm-0558 pour extraire des donn\u00e9es non classifi\u00e9es des bo\u00eetes aux lettres des victimes, mais les contours exacts de la campagne de cyberespionnage restent inconnus.<\/p>\n

Le fabricant de Windows a d\u00e9clar\u00e9 qu’il enqu\u00eatait toujours sur la mani\u00e8re dont l’adversaire avait r\u00e9ussi \u00e0 acqu\u00e9rir la cl\u00e9 de signature du consommateur MSA. Mais on ne sait pas si la cl\u00e9 a fonctionn\u00e9 comme une sorte de cl\u00e9 principale pour d\u00e9verrouiller l’acc\u00e8s aux donn\u00e9es appartenant \u00e0 pr\u00e8s de deux douzaines d’organisations.<\/p>\n

L’analyse de Wiz comble certains des vides, la soci\u00e9t\u00e9 d\u00e9couvrant que “toutes les applications de compte personnel Azure v2.0 d\u00e9pendent d’une liste de 8 cl\u00e9s publiques<\/a>et toutes les applications Azure mutualis\u00e9es v2.0 avec un compte Microsoft activ\u00e9 d\u00e9pendent d’une liste de 7 cl\u00e9s publiques<\/a>.”<\/p>\n

\"Azure<\/div>\n

Il a en outre constat\u00e9 que Microsoft avait remplac\u00e9 l’une des cl\u00e9s publiques r\u00e9pertori\u00e9es (empreinte\u00a0: “d4b4cccda9228624656bff33d8110955779632aa”) qui \u00e9tait pr\u00e9sente. depuis au moins 2016<\/a> entre le 27 juin 2023 et le 5 juillet 2023, \u00e0 peu pr\u00e8s \u00e0 la m\u00eame p\u00e9riode, la soci\u00e9t\u00e9 a d\u00e9clar\u00e9 avoir r\u00e9voqu\u00e9 la cl\u00e9 MSA.<\/p>\n

“Cela nous a amen\u00e9s \u00e0 croire que bien que la cl\u00e9 compromise acquise par Storm-0558 \u00e9tait une cl\u00e9 priv\u00e9e con\u00e7ue pour le locataire MSA de Microsoft dans Azure, elle \u00e9tait \u00e9galement capable de signer des jetons OpenID v2.0 pour plusieurs types d’applications Azure Active Directory”, a d\u00e9clar\u00e9 Wiz.<\/p>\n

WEBINAIRE \u00c0 VENIR<\/span><\/p>\n

Bouclier contre les menaces internes\u00a0: ma\u00eetriser la gestion de la posture de s\u00e9curit\u00e9 SaaS<\/p>\n

<\/a><\/p>\n

Inquiet des menaces internes ? Nous avons ce qu’il vous faut! Rejoignez ce webinaire pour explorer les strat\u00e9gies pratiques et les secrets de la s\u00e9curit\u00e9 proactive avec la gestion de la posture de s\u00e9curit\u00e9 SaaS.<\/p>\n

Joignez aujourd’hui<\/a><\/section>\n

“Storm-0558 a apparemment r\u00e9ussi \u00e0 obtenir l’acc\u00e8s \u00e0 l’une des nombreuses cl\u00e9s destin\u00e9es \u00e0 la signature et \u00e0 la v\u00e9rification des jetons d’acc\u00e8s AAD. La cl\u00e9 compromise a \u00e9t\u00e9 approuv\u00e9e pour signer n’importe quel jeton d’acc\u00e8s OpenID v2.0 pour les comptes personnels et les applications AAD \u00e0 public mixte (multi-tenant ou compte personnel).”<\/p>\n

Cela signifie effectivement qu’il pourrait th\u00e9oriquement permettre \u00e0 des acteurs malveillants de falsifier des jetons d’acc\u00e8s \u00e0 utiliser par n’importe quelle application qui d\u00e9pend de la plate-forme d’identit\u00e9 Azure.<\/p>\n

Pire encore, la cl\u00e9 priv\u00e9e acquise aurait pu \u00eatre militaris\u00e9e pour forger des jetons afin de s’authentifier en tant qu’utilisateur d’une application affect\u00e9e qui fait confiance aux certificats d’audience mixte et de comptes personnels de Microsoft OpenID v2.0.<\/p>\n

“Les cl\u00e9s de signature du fournisseur d’identit\u00e9 sont probablement les secrets les plus puissants du monde moderne”, a d\u00e9clar\u00e9 Shir Tamari, chercheur en s\u00e9curit\u00e9 chez Wiz. “Avec les cl\u00e9s du fournisseur d’identit\u00e9, on peut obtenir un acc\u00e8s imm\u00e9diat \u00e0 tout, n’importe quelle bo\u00eete de messagerie, service de fichiers ou compte cloud.”<\/p>\n

<\/p>\n

Vous avez trouv\u00e9 cet article int\u00e9ressant ? Suivez-nous sur Twitter \uf099<\/i><\/a> et LinkedIn<\/a> pour lire plus de contenu exclusif que nous publions.<\/div>\n<\/div>\n