Una clave de seguridad robada a Microsoft permitió a un actor de amenazas atribuido a China acceder a cuentas de correo electrónico de Outlook y Exchange Online utilizadas por organismos nacionales. El incidente fue revelado recientemente por Microsoft y la Agencia Federal de Seguridad de Estados Unidos (CISA).
Acceso fraudulento mediante claves privadas
El actor, identificado como Storm-0558, obtuvo una clave de cifrado privada interna de Microsoft que se utiliza para firmar digitalmente tokens de acceso a sus servicios en línea. Con esta clave, los espías pudieron crear tokens falsificados que parecían emitidos legítimamente por la empresa.
Estos tokens permitieron el acceso no autorizado a las cuentas de correo electrónico de funcionarios del gobierno estadounidense, incluida la secretaria de Comercio, Gina Raimondo. El ataque fue detectado por una agencia federal que alertó sobre el incidente.
Posible acceso a más servicios
Según Shir Tamari, jefe de investigación de Wiz, la clave comprometida podría haber permitido al actor falsificar tokens para múltiples aplicaciones de Azure Active Directory (AAD), incluyendo Outlook, SharePoint, OneDrive y Teams. Además, abarcaría aplicaciones que admiten la funcionalidad «iniciar sesión con Microsoft» y las configuradas para usar claves v2.0 en lugar del modelo de organizaciones.
Los investigadores de Wiz señalaron que los clientes pueden tener dificultades para saber si los malhechores usaron tokens falsificados, debido a la falta de registros relacionados con la verificación de tokens.
Respuesta de Microsoft
Microsoft revocó inmediatamente la clave comprometida y publicó una lista de indicadores de compromiso para ayudar a los clientes. Sin embargo, el portavoz de la empresa señaló que muchas afirmaciones sobre el incidente son especulativas y no están basadas en evidencia.
El portavoz recomendó revisar los blogs de Microsoft Threat Intelligence y utilizar los indicadores de compromiso públicos para investigar sus propios entornos.
Acceso a otros sistemas
Según un informe del Wall Street Journal, los espías también accedieron a las bandejas de entrada del embajador estadounidense en China, Nicholas Burns, y Daniel Kritenbrink, subsecretario de Estado para Asia Oriental.
¿Cómo se obtuvo la clave?
Aún no está claro cómo los espías obtuvieron la clave de cifrado privada. Según Wiz, el equipo con sede en China parece haber obtenido una de las varias claves utilizadas para verificar tokens de acceso de Azure Active Directory (AAD), lo que les permitió firmar como Microsoft cualquier token de acceso OpenID v2.0.
Microsoft extrajo la clave comprometida, lo que significa que ya no se puede usar para falsificar tokens y acceder a las aplicaciones AAD. Sin embargo, existe la posibilidad de que durante las sesiones previamente establecidas los atacantes hayan usado este acceso para implementar puertas traseras o establecer la persistencia.
Además, las aplicaciones que usan almacenes de certificados locales o claves en caché aún pueden confiar en la clave comprometida y ser vulnerables a los ataques. Por ello, tanto Wiz como Microsoft recomiendan actualizar esos silos al menos una vez al día.