Eine neue Recherche von Mandiant zur russischen Hackergruppe APT29, die hinter dem SolarWinds-Angriff aus 2021 steckt, zeigt, dass die Angreifer neue Taktiken anwenden und weiterhin aktiv auf Microsoft 365 abzielen.
Außerdem konnte beobachtet werden, dass APT29 frühere Opfer erneut angreift – insbesondere diejenigen, die Einfluss auf oder enge Verbindungen zu NATO-Ländern haben. Dies zeigt, dass die Cyberkriminellen hartnäckig, aggressiv und mit viel Engagement ihre technischen Fähigkeiten weiterentwickeln.
Fokus auf Betriebssicherheit
APT29 demonstriert weiterhin außergewöhnliche Betriebssicherheit und Ausweichtaktiken. Zusätzlich zur Verwendung von Proxys in Privathaushalten, um ihren letzten Zugang zu Opferumgebungen zu verschleiern, hat Mandiant beobachtet, dass APT29 sich Azure Virtual Machines zuwendet. Die von APT29 verwendeten virtuellen Maschinen existieren in Azure-Abonnements außerhalb der Opferorganisation.
Mandiant ist nicht bekannt, ob diese Abonnements kompromittiert oder von APT29 gekauft wurden. Die Beschaffung des Zugriffs auf der letzten Meile von vertrauenswürdigen Microsoft-IP-Adressen verringert die Wahrscheinlichkeit einer Erkennung. Da Microsoft 365 selbst auf Azure ausgeführt wird, enthalten die Azure AD-Anmelde- und Unified-Audit-Protokolle bereits viele Microsoft-IP-Adressen, und es kann schwierig sein, schnell festzustellen, ob eine IP-Adresse zu einer bösartigen VM oder einem M365-Back-End-Dienst gehört.
Erkenntnisse der Recherchen von Mandiant
- Zu den neuen Taktiken gehört die Deaktivierung von Purview Audit in Microsoft. Die Purview Audit-Lizenz ist eine wichtige Protokollquelle, um festzustellen, ob ein Cyberkrimineller auf ein bestimmtes Postfach zugreift. Indem APT29 sich Zugang verschafft und diese Lizenz deaktiviert, kann die Gruppe im Wesentlichen jede Spur ihrer Anwesenheit verwischen.
- Eine andere Taktik ist die Ausnutzung des Selbstregistrierungsprozesses für die Multi-Faktor-Authentifizierung (MFA) im Azure Active Directory. Nachdem APT29 erfolgreich einen Angriff zum Erraten von Passwörtern gegen eine Liste von Postfächern durchgeführt hatte, konnten die Hacker sich mit einem inaktiven Konto für die MFA registrieren. Nach der Registrierung konnte APT29 das Konto nutzen, um auf die VPN-Infrastruktur des Unternehmens zuzugreifen.
Den vollständigen Bericht bietet Mandiant in seinem englischsprachigen Blog an
Mehr bei Mandiant.com
Über Mandiant Mandiant ist ein anerkannter Marktführer für dynamische Cyberabwehr, Threat Intelligence und Incident Response. Mit jahrzehntelanger Erfahrung an vorderster Cyberfront hilft Mandiant Unternehmen dabei, sich selbstbewusst und proaktiv gegen Cyber-Bedrohungen zu verteidigen und auf Angriffe zu reagieren. Mandiant ist jetzt Teil von Google Cloud.