Microsoft reveló que un grupo de atacantes chinos logró acceder a cuentas de correo electrónico del gobierno estadounidense mediante la obtención de una clave privada de firma. La clave fue obtenida tras comprometer la cuenta corporativa de un ingeniero de Microsoft, lo cual permitió el acceso a un entorno de depuración que contenía información sensible.
Explotación de vulnerabilidad Zero-Day
Los atacantes utilizaron una clave MSA robada para acceder a cuentas de Exchange Online y Azure Active Directory (AD) de aproximadamente dos docenas de organizaciones, incluidas agencias gubernamentales estadounidenses como el Departamento de Estado y el Departamento de Comercio. Para lograrlo, explotaron una vulnerabilidad Zero-Day en la API GetAccessTokenForResourceAPI, que les permitió falsificar tokens de acceso firmados y suplantar cuentas dentro de las organizaciones objetivo.
Filtración de la clave privada
Durante la investigación del incidente, Microsoft descubrió que la clave MSA se filtró en un volcado de memoria tras fallar un sistema de firma del consumidor en abril de 2021. Aunque el volcado no debería haber incluido la firma de claves, una condición de carrera llevó a que se agregara la clave.
Este volcado fue trasladado de la red de producción aislada de la empresa a su entorno de depuración corporativo conectado a Internet. Los atacantes encontraron la clave después de comprometer con éxito la cuenta corporativa del ingeniero de Microsoft, que tenía acceso al entorno de depuración.
Acceso generalizado a servicios en la nube
Según el investigador de seguridad de Wiz, Shir Tamari, la clave comprometida permitió a Storm-0558 acceder a los servicios en la nube de Microsoft. La clave podría usarse para hacerse pasar por cualquier cuenta dentro de cualquier cliente afectado o aplicación de Microsoft basada en la nube.
Esto incluye aplicaciones administradas de Microsoft, como Outlook, SharePoint, OneDrive y Teams, así como aplicaciones de clientes que admiten la autenticación de cuentas de Microsoft, incluidas aquellas que permiten la funcionalidad «Iniciar sesión con Microsoft». Tamari destacó que todo en el mundo de Microsoft aprovecha los tokens de autenticación de Azure Active Directory para el acceso.
Respuesta de Microsoft
En respuesta a la violación, Microsoft revocó todas las claves de firma MSA válidas para evitar que los actores de amenazas accedan a otras claves comprometidas. Este paso también bloqueó efectivamente cualquier esfuerzo adicional para generar nuevos tokens de acceso.
Además, Microsoft reubicó los tokens de acceso generados recientemente al almacén de claves utilizado por sus sistemas empresariales. Después de revocar la clave de firma robada, no encontró evidencia adicional de acceso no autorizado a cuentas de clientes empleando la misma técnica de falsificación de tokens de autenticación.
Acceso gratuito a datos de registro en la nube
Presionado por CISA, Microsoft acordó ampliar el acceso a los datos de registro en la nube de forma gratuita para ayudar a los defensores de la red a detectar intentos de violación similares en el futuro. Antes de esto, dichas capacidades solo estaban disponibles para clientes con licencias de registro de Purview Audit (Premium).
Redmond enfrentó importantes críticas por impedir que las organizaciones detectaran rápidamente los ataques de Storm-0558.