Хакери проникнаха в Microsoft 365 през забравени акаунти, които никой не е наблюдавал

Хакери компрометираха среди на Microsoft 365, като се насочиха към акаунти, които все още са били активни, но не са били наблюдавани. Стара парола и липсата на защита при вход са осигурили на нападателите път до електронна поща, файлове и облачни приложения.

Кампанията е била насочена основно към организации в Чили, включително голям търговец на дребно и финансови институции.

Вместо неколкократно да гадае паролите на един човек, извършителят е тествал вероятни пароли по подразбиране в множество акаунти — техника, позната от подобни атаки тип „password spraying“ (пръскане на пароли), след което е използвал успешните влизания за проучване на облачните услуги.

Анализаторите от Proofpoint идентифицираха активността като UNK_CondorFiltration — кампания, злоупотребяваща с TeamFiltration (рамка за тестване, а не нов щам зловреден код).

От Proofpoint заявяват в доклад, споделен с Cyber Security News (CSN) като изходен материал, че операцията е засегнала 5 714 акаунта в 28 тенанта на Microsoft 365 и е довела до седем потвърдени пробива.

Числата подчертават тясна, но сериозна слабост. Нито един от потвърдените пробива не е свързан с лични акаунти на служители.

Всяка засегната самоличност е била функционален или сервизен акаунт — от типа, създаден за обработка на плащания, управление на тикет системи, поддръжка на системи за продажби (PoS) или изпълнение на други рутинни задачи, без реален човек да влиза редовно в него.

Хакери проникнаха в Microsoft 365 през забравени акаунти

Изследователите установиха, че седемте компрометирани акаунта нямат по-ранна легитимна активност по влизане в наличните записи. Шест от тях са били пробити в рамките на седем минути — модел, който сочи към споделени или непроменени пароли по подразбиране, а не към индивидуално откраднати идентификационни данни.

Акаунтите са останали активирани, липсвала е ясна собственост върху тях и очевидно не са имали многофакторна автентификация (MFA), която да попречи на валидна парола да бъде достатъчна за достъп.

На един търговец на дребно се дължат 25 715 от общо 32 825 събития за автентификация в кампанията, или 78,3 процента. Вълната от 13 до 16 август достигна пик от около 1 560 атакирани акаунта на 15 август, като всичките седем потвърдени пробива са възникнали при този търговец на дребно на 14 и 15 август.

Моделът наподобява по-ранна кампания за превземане на акаунти чрез TeamFiltration, използваща същата рамка срещу облачни самоличности. TeamFiltration може да проверява дали съществуват акаунти през Teams API, да тества пароли мащабно и да използва облачна инфраструктура за промяна на изходните си локации.

След успешно влизане тя може да събира електронна поща, съобщения от Teams и данни от OneDrive или SharePoint. Това прави пренебрегнатия оперативен акаунт изключително полезен за атакуващите.

Констатациите сочат към практически мерки за защита. Организациите трябва да направят инвентаризация на сервизните акаунти, да определят отговорен собственик, да премахнат акаунти, които вече не служат за никаква цел, да ротират всички наследени идентификационни данни и да изискват MFA или по-сигурна самоличност за работни товари (workload identity), където е възможно.

Екипите трябва също така да преглеждат правилата за условен достъп (conditional access) и логовете за влизане за масови неуспехи в множество акаунти, както обяснява и отразяването на атаките от тип „spraying“ в Microsoft 365.

От легитимен вход до разузнаване в облака

Активността не винаги е приключвала само с проверка на парола. За повечето засегнати акаунти изследователите са наблюдавали достъп до Microsoft Office, OneDrive и Teams от същата инфраструктура, хоствана в облака.

Това поведение съответства на автоматичния режим за събиране на данни на TeamFiltration, въпреки че само логовете за влизане не могат да потвърдят дали файлове или съобщения са били извлечени.

В един от случаите киберпрестъпникът се е прехвърлил към германски VPN възел в рамките на 90 секунди след първоначалното компрометиране. Атакуващият неуспешно е сондирал корпоративния VPN, след което е отворил Azure Portal, OfficeHome и SharePoint Online.

Подкана за регистрация в MFA по време на посещението в Azure Portal е показала, че компрометираният акаунт не е бил конфигуриран за MFA.

Достъпът до SharePoint е могъл да подпомогне откриването на документи, кражбата на данни или опит за поставяне на вреден файл на място, където доверен потребител по-късно би могъл да го отвори.

Заявка за токен за достъп през приложението SharePoint Online Web Client Extensibility също подсказва за опит за взаимодействие с Microsoft Graph или външни приложения.

Подобна злоупотреба след влизане се появява и в доклади за скрити правила в облачни пощенски кутии, които могат да помогнат на атакуващите незабелязано да запазят видимост върху бизнес пощата.

Защитниците трябва да третират неактивните акаунти като риск за самоличността, а не като административен хаос. Сигнализирането при откриване на характерния user agent, опити за въвеждане на парола от distributed cloud хостове, първи влизания и внезапен достъп до чувствителни приложения може да разкрие този тип проникване на ранен етап.

Блокирането на остарели или ненужни пътища за вход и тестването на MFA покритието за нечовешки акаунти може да затвори пролуката, от която се е възползвала тази кампания.

Показатели за компрометиране (IoCs):-

Забележка: IP адресите и домейните са умишлено обезвредени (напр. [.]), за да се предотврати случайно решаване на имена или създаване на хипервръзки. Възстановете ги само в среди на контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или вашата SIEM система.