Chinesische Hacker stehlen Azure AD-Signaturschlüssel 

B2B Cyber Security ShortNews

Beitrag teilen

Nach unbefugten Zugriff auf die Exchange Online-E-Mail-Dienste mehrerer US-Regierungsbehörden startete Microsoft eine Untersuchung. Die Experten stellten dabei fest, dass mit Hilfe von Schwachstellen, gestohlenen Schlüsseln und einem Azure AD-Signaturschlüssel der Hack gelang. Nur woher die Hacker die Schlüssel hatten, ist wohl noch ein Rätsel. 

Zwei Dutzend Organisationen, darunter auch US-Regierungsbehörden, wurden vor kurzem gehackt. Dabei haben chinesische Hacker einen Verbrauchersignaturschlüssel für ein inaktives Microsoft-Konto (MSA) gestohlen. Der Vorfall wurde von US-Regierungsbeamten gemeldet , nachdem ein unbefugter Zugriff auf die Exchange Online-E-Mail-Dienste mehrerer Regierungsbehörden festgestellt worden war.

Anzeige

Aktion von chinesischen Profihackern

Microsoft begann bereits am 16. Juni mit der Untersuchung der Angriffe und stellte fest, dass eine chinesische Cyberspionagegruppe, die es als Storm-0558 bekannt ist, die E-Mail-Konten von etwa 25 Organisationen (angeblich einschließlich des US-Außenministeriums und des US-Handelsministeriums ) gehackt hat. Die Angreifer nutzten den gestohlenen Azure AD-Unternehmenssignaturschlüssel, um neue Authentifizierungstoken zu fälschen, indem sie eine GetAccessTokenForResource-API-Schwachstelle ausnutzten und ihnen Zugriff auf die Unternehmens-E-Mails der Ziele verschafften. „Die Methode, mit der der Akteur an den Schlüssel gelangt ist, ist Gegenstand laufender Untersuchungen“, gab Microsoft in einem heute veröffentlichten neuen Advisory zu.

Storm-0558 kann PowerShell- und Python-Skripte verwenden, um über REST-API-Aufrufe neue Zugriffstoken für den OWA Exchange Store-Dienst zu generieren, um E-Mails und Anhänge zu stehlen. Microsoft hat jedoch nicht bestätigt, ob dieser Ansatz bei den Datendiebstahlangriffen auf Exchange Online im letzten Monat verwendet wurde. „Unsere Telemetriedaten und Untersuchungen deuten darauf hin, dass sich die Aktivitäten nach der Kompromittierung auf den E-Mail-Zugriff und die Exfiltration für gezielte Benutzer beschränkten“, fügte Microsoft heute hinzu.

Verdächtige Schlüssel und Token gesperrt

Das Unternehmen blockierte am 3. Juli die Verwendung des gestohlenen privaten Signaturschlüssels für alle betroffenen Kunden und gab an, dass die Token-Replay-Infrastruktur der Angreifer einen Tag später abgeschaltet wurde. Am 27. Juni hat Microsoft außerdem alle gültigen MSA-Signaturschlüssel widerrufen. „Seit Microsoft den vom Akteur erworbenen MSA-Signaturschlüssel ungültig gemacht hat, wurden keine schlüsselbezogenen Aktivitäten beobachtet“, sagte Microsoft.

Den kompletten Ablauf der Attacke und die technischen Details hat Microsoft in einem Security Advisory aufgearbeitet.

Mehr bei Microsoft.com

 


Über Microsoft Deutschland

Die Microsoft Deutschland GmbH wurde 1983 als deutsche Niederlassung der Microsoft Corporation (Redmond, U.S.A.) gegründet. Microsoft hat es sich zur Aufgabe gemacht, jede Person und jedes Unternehmen auf der Welt zu befähigen, mehr zu erreichen. Diese Herausforderung kann nur gemeinsam gemeistert werden, weshalb Diversität und Inklusion seit den Anfängen fest in der Unternehmenskultur verankert sind.

Als weltweit führender Hersteller von produktiven Softwarelösungen und modernen Services im Zeitalter von intelligent Cloud und intelligent Edge, sowie als Entwickler innovativer Hardware, versteht sich Microsoft als Partner seiner Kunden, um diesen zu helfen, von der digitalen Transformation zu profitieren. Sicherheit und Datenschutz haben bei der Entwicklung von Lösungen oberste Priorität. Als weltweit größter Beitragsgeber treibt Microsoft die Open-Source-Technologie über seine führende Entwicklerplattform GitHub voran. Mit LinkedIn, dem größten Karriere-Netzwerk, fördert Microsoft die berufliche Vernetzung weltweit.


 

Passende Artikel zum Thema

Cyberkriminelle: Skepsis gegenüber KI – Hoffnung bei DeepSeek

Eine Untersuchung von Sophos X-Ops in ausgewählten Cybercrime-Foren ergab, dass Bedrohungsakteure die KI nach wie vor nicht intensiv für ihre ➡ Weiterlesen

Report: Gemini wird von staatlichen Hackergruppen missbraucht 

Die Google Threat Intelligence Group (GTIG) zeigt in einem Bericht, dass besonders iranische, chinesische, nordkoreanische und russische Hackergruppen auf die ➡ Weiterlesen

BKA sprengt Hackerportale mit zehn Millionen Nutzern

In der gemeinsamen Operation Talent hat die ZIT und das BKA als deutsche Beteiligung gleich zwei Hackerportale mit Cracking- & ➡ Weiterlesen

Lexmark-Geräte mit fünf gefährlichen Schwachstellen

Anbieter Lexmark meldet eine kritische und vier hochgefährliche Schwachstellen für seine Geräte. Bei allen lässt sich Remote-Code ausführen, bei der ➡ Weiterlesen

Cyberspionage: Europäische Behörden im Visier – auch Deutschland

Security-Experten haben eine Cyberspionage gegen europäische Behörden entdeckt. Hinter den Angriffen stecken möglicherweise russische Gruppen die auch Behörden in Deutschland ➡ Weiterlesen

SonicWall Firewall-Appliance mit kritischer Schwachstelle

SonicWall informiert über eine kritische 9.8 Schwachstelle in der Appliance vom Typ SMA1000. SonicWall stellt ein entsprechendes Update bereit, welches ➡ Weiterlesen

Angriffe 2024: Anmeldedaten waren häufigstes Ziel

Ein Report hat Cyberattacken in 2024 analysiert und dabei festgestellt: Die meisten Angreifer brechen nicht ein, sondern loggen sich mit ➡ Weiterlesen

Microsoft Teams: E-Mail-Bombing und Voice Phishing

Cyberkriminelle missbrauchen Microsoft Teams als Einfallstor für ihre Angriffe. Sie versuchen dann Daten abzuziehen oder Ransomware zu platzieren. Mit im ➡ Weiterlesen