Microsoft bringt Licht ins Dunkel des russischen E-Mail-Diebstahls
Eine Woche nach der Enthüllung, dass vom Kreml unterstützte Spione in das Microsoft-Netzwerk eingedrungen sind und interne E-Mails und Dateien von Führungskräften und Mitarbeitern gestohlen haben, hat Microsoft nun bestätigt, dass das kompromittierte Unternehmenskonto, das bei der Entstehung des E-Mail-Diebstahls verwendet wurde, nicht einmal über eine Multi-Faktor-Authentifizierung (MFA) verfügte.
Am Donnerstag räumte Microsoft ein, dass Midnight Blizzard - ein von Moskau unterstütztes Spionageteam, das auch als APT29 oder Cozy Bear bekannt ist - "Passwort-Spray-Angriffe eingesetzt hat, die erfolgreich ein altes, nicht produktives Benutzerkonto kompromittiert haben, in dem keine Multifaktor-Authentifizierung (MFA) aktiviert war".
Bei einem Passwort-Spray-Angriff versucht ein Täter, sich mit einem Passwort bei einer Reihe von Konten anzumelden, wartet dann eine Weile und versucht es erneut mit einem anderen Passwort und wiederholt dies immer wieder. Es handelt sich dabei um eine Art Brute-Force-Angriff, der darauf abzielt, Überwachungssysteme zu umgehen, die mehrere fehlgeschlagene Anmeldungen bei einem Konto innerhalb eines kurzen Zeitraums aufspüren. Passwort-Spraying ist subtiler, und wenn die Angreifer ein Konto mit einem schwachen Passwort identifizieren, können sie dies nutzen, um sich in den IT-Bereich einzuschleichen.
Nachdem sie sich zunächst Zugang zu einem nicht produktiven Microsoft-System verschafft hatten, drangen die Angreifer in eine alte OAuth-Testanwendung ein, die Zugang zur IT-Umgebung des Unternehmens hatte. Von dort aus wurden wir informiert:
Die Crew nutzte dann diesen Zugriff, um E-Mails und andere Dateien aus den Postfächern von Microsoft-Führungskräften und anderen Mitarbeitern zu stehlen. Außerdem soll Cozy Bear private Breitbandnetzwerke als Proxys genutzt haben, um den Datenverkehr so aussehen zu lassen, als ob er von Mitarbeitern am Arbeitsplatz stamme, da er von scheinbar echten IP-Adressen der Nutzer stammte.
Microsoft möchte in seiner Mitteilung auch darauf hinweisen, dass Midnight Blizzard auch andere Unternehmen ins Visier genommen hat. HPE kann dies bestätigen, obwohl zu diesem Zeitpunkt nicht klar ist, wie der Angriff durchgeführt wurde.