Microsoft ha confirmado que aún no conoce el método utilizado por ciberdelincuentes chinos para obtener una clave de firma de cuenta Microsoft inactiva (MSA), la cual fue empleada para acceder a cuentas Exchange Online y Azure AD de más de veinte organizaciones, entre ellas agencias gubernamentales estadounidenses.
Investigación en curso
El método por el cual el actor adquirió la clave es un tema de investigación en curso, admitió Microsoft en un nuevo aviso. El incidente fue informado por funcionarios del gobierno de EE.UU., luego de descubrir un acceso no autorizado a los servicios de correo electrónico Exchange Online de varias agencias gubernamentales.
Ataque atribuido al grupo Storm-0558
Microsoft comenzó a investigar los ataques el 16 de junio y descubrió que un grupo de ciberespionaje chino, rastreado como Storm-0558, violó las cuentas de correo electrónico de aproximadamente 25 organizaciones, incluidos los Departamentos de Estado y Comercio de EE.UU.
Uso de la clave robada
Los actores de amenazas utilizaron la clave de firma empresarial de Azure AD robada para falsificar nuevos tokens de autenticación al explotar una falla en la API GetAccessTokenForResource, brindándoles acceso al correo empresarial de los objetivos.
Técnicas empleadas por Storm-0558
Storm-0558 usó comandos de PowerShell y Python para generar nuevos tokens de acceso a través de llamadas API REST contra el servicio OWA Exchange Store, con el fin de robar correos electrónicos y archivos adjuntos. Sin embargo, Microsoft no confirmó si utilizaron este enfoque en los ataques de robo de datos de Exchange Online del mes pasado.
Acciones tomadas por Microsoft
La compañía bloqueó el uso de la clave de firma privada robada para todos los clientes afectados el 3 de julio y dice que la infraestructura de reproducción del token de los atacantes se cerró un día después. El 27 de junio, Microsoft también revocó todas las claves de firma de MSA válidas para bloquear todos los intentos de generar nuevos tokens de acceso y trasladó los recién generados al almacén de claves que utiliza para sus sistemas empresariales.
Actividad posterior del grupo
Aunque Redmond ya no ha detectado ninguna actividad maliciosa de Storm-0558 relacionada con la clave, el aviso de hoy dice que los atacantes ahora han cambiado a otras técnicas.
Ataque adicional atribuido al grupo ruso RomCom
El martes, Microsoft también reveló que el grupo ruso RomCom explotó un Zero-Day de Office en los recientes ataques de phishing contra organizaciones que asistieron a la Cumbre de la OTAN en Vilnius, Lituania. Los operadores utilizaron documentos maliciosos que se hacían pasar por el Congreso Mundial de Ucrania para impulsar e implementar cargas útiles de malware como el cargador MagicSpell y la puerta trasera de RomCom.