Orosz támadók a Microsoft Teams-en: Adatlopásra irányuló próbálkozások

A Microsoft információi szerint egy orosz hackertársaság, mely állítólag a kormány érdekeit szolgálja, a Microsoft Teams alkalmazást használja információk gyűjtésére különböző szervezeteknél.

Microsoft Tájékoztatása

A Microsoft nemrég tette közzé, hogy egy, az orosz államhoz köthető hackercsoport a Teams szolgáltatást veszi célkeresztbe adatszerzési céllal.

Az Redmond-i Biztonsági Csapat elemzései alapján a támadók az orosz SVR hírszerzés tagjai lehetnek. Több támadást is intéztek állami, médiás és technológiai intézmények ellen.

‘Éjféli Vihar’ Cselekményei

Az ‘Éjféli Vihar’ néven ismert társaságot korábban a Microsoft Nobeliumként azonosította. Kimutatták, hogy a társaság megfertőzött Microsoft 365 fiókokkal trükközik, és új, megtévesztő domaineket hoz létre.

Ezen hamis domainek segítségével a támadók a Teams alkalmazáson belül próbálnak meg hozzáférni információkhoz, felhasználói tevékenységeket manipulálva és az MFA azonosítását kikerülve.

Az érintett támadások száma alacsony, ami arra utal, hogy célzott kiberincidensekről van szó, főleg az USA és Európa területén.

A támadások részletesebb elemzése

A Microsoft szakemberei alapos jelentést is összeállítottak a támadásokról, különösen a támadók által használt domainnevek vizsgálatára összpontosítva.

„A támadások hatékonyságának növelése érdekében a kiszemelt kisebb vállalkozások Microsoft 365 fiókjait manipulálták. Módosították a fertőzött fiók nevét, hozzáadva egy ‘onmicrosoft.com’ végződést, és új fiókot hoztak létre ezen a domainen, ahonnan üzeneteket küldtek a célpontoknak.”

Sikeres beavatkozás esetén a támadók elérhetik a célpont Microsoft 365 fiókját és más szolgáltatásokat is, megkerülve az azonosítási procedúrát.

Bejutás után képesek információkat lopni, és elérhetik más Microsoft 365 szolgáltatásokat is, mint például az Azure platformot.

Védekezés és hatások

A Microsoft bejelentette, hogy észlelték a támadásokat és az adatszerzési kísérleteket. Néhány esetben a támadó hozzápróbált adni eszközöket a vállalati hálózathoz, amelyek a Microsoft Entra ID segítségével kommunikálnak. Ezzel a támadó képes megkerülni azokat a hozzáférési szabályokat, amelyek csak engedélyezett eszközökre érvényesek.

A cég aktívan dolgozik a támadások azonosításán és megállításán, és azt tanácsolja a felhasználóknak, hogy mindig legyenek résen minden kétes üzenettel vagy kéréssel kapcsolatban.

Forrás: www.securityweek.com