Microsoft 365 im Visier von russischer Hackergruppe APT29

Beitrag teilen

Eine neue Recherche von Mandiant zur russischen Hackergruppe APT29, die hinter dem SolarWinds-Angriff aus 2021 steckt, zeigt, dass die Angreifer neue Taktiken anwenden und weiterhin aktiv auf Microsoft 365 abzielen.

Außerdem konnte beobachtet werden, dass APT29 frühere Opfer erneut angreift – insbesondere diejenigen, die Einfluss auf oder enge Verbindungen zu NATO-Ländern haben. Dies zeigt, dass die Cyberkriminellen hartnäckig, aggressiv und mit viel Engagement ihre technischen Fähigkeiten weiterentwickeln.

Fokus auf Betriebssicherheit

APT29 demonstriert weiterhin außergewöhnliche Betriebssicherheit und Ausweichtaktiken. Zusätzlich zur Verwendung von Proxys in Privathaushalten, um ihren letzten Zugang zu Opferumgebungen zu verschleiern, hat Mandiant beobachtet, dass APT29 sich Azure Virtual Machines zuwendet. Die von APT29 verwendeten virtuellen Maschinen existieren in Azure-Abonnements außerhalb der Opferorganisation.

Mandiant ist nicht bekannt, ob diese Abonnements kompromittiert oder von APT29 gekauft wurden. Die Beschaffung des Zugriffs auf der letzten Meile von vertrauenswürdigen Microsoft-IP-Adressen verringert die Wahrscheinlichkeit einer Erkennung. Da Microsoft 365 selbst auf Azure ausgeführt wird, enthalten die Azure AD-Anmelde- und Unified-Audit-Protokolle bereits viele Microsoft-IP-Adressen, und es kann schwierig sein, schnell festzustellen, ob eine IP-Adresse zu einer bösartigen VM oder einem M365-Back-End-Dienst gehört.

Erkenntnisse der Recherchen von Mandiant

  • Zu den neuen Taktiken gehört die Deaktivierung von Purview Audit in Microsoft. Die Purview Audit-Lizenz ist eine wichtige Protokollquelle, um festzustellen, ob ein Cyberkrimineller auf ein bestimmtes Postfach zugreift. Indem APT29 sich Zugang verschafft und diese Lizenz deaktiviert, kann die Gruppe im Wesentlichen jede Spur ihrer Anwesenheit verwischen.
  • Eine andere Taktik ist die Ausnutzung des Selbstregistrierungsprozesses für die Multi-Faktor-Authentifizierung (MFA) im Azure Active Directory. Nachdem APT29 erfolgreich einen Angriff zum Erraten von Passwörtern gegen eine Liste von Postfächern durchgeführt hatte, konnten die Hacker sich mit einem inaktiven Konto für die MFA registrieren. Nach der Registrierung konnte APT29 das Konto nutzen, um auf die VPN-Infrastruktur des Unternehmens zuzugreifen.

Den vollständigen Bericht bietet Mandiant in seinem englischsprachigen Blog an

Mehr bei Mandiant.com

 


Über Mandiant

Mandiant ist ein anerkannter Marktführer für dynamische Cyberabwehr, Threat Intelligence und Incident Response. Mit jahrzehntelanger Erfahrung an vorderster Cyberfront hilft Mandiant Unternehmen dabei, sich selbstbewusst und proaktiv gegen Cyber-Bedrohungen zu verteidigen und auf Angriffe zu reagieren. Mandiant ist jetzt Teil von Google Cloud.


 

Passende Artikel zum Thema

Bösartiges Site Hopping

In letzter Zeit wird vermehrt eine neue Technik zur Umgehung von Sicherheitsscannern eingesetzt, nämlich das „Site Hopping“. Diese Technik ist ➡ Weiterlesen

Risikomanagement App für Microsoft 365

Die Risikomanagement App Cockpit ist eine fertige Plug & Play-Lösung, die über Desktop oder Smartphone bedient werden kann. Sie identifiziert, ➡ Weiterlesen

Neue Ransomware-Gruppe Money Message entdeckt

Bereits im April dieses Jahres wurde eine neue Ransomware-Gruppe namens „Money Message“ aktiv. Während die Cyberkriminellen bislang unter dem Radar ➡ Weiterlesen

Wardriving mit künstlicher Intelligenz

Mittlerweile werden KI-Tools millionenfach eingesetzt, um Themen zu recherchieren, Briefe zu schreiben und Bilder zu erstellen. Doch auch im Bereich ➡ Weiterlesen

LockBit veröffentlich 43 GByte gestohlene Boeing-Daten

Bereits im Oktober vermeldete die APT-Gruppe LockBit, dass man bei Boeing in die Systeme eingedrungen sei und viele Daten gestohlen ➡ Weiterlesen

Veeam ONE: Hotfix für kritische Schwachstellen steht bereit 

Veeam informiert seine Nutzer über zwei kritische und zwei mittlere Schwachstellen in Veeam One für die bereits Patches bereitstehen. Die ➡ Weiterlesen

Cyberattacke auf Deutsche Energie-Agentur – dena

Die Deutsche Energie-Agentur vermeldet nach eigenen Angaben eine Cyberattacke am Wochenende vom 11. auf den 12. November. Die Server sind ➡ Weiterlesen

LockBit: Gestohlene Shimano-Daten wohl veröffentlicht

Der japanische Hersteller für Fahrradteile Shimano wurde Ziel laut LockBit Opfer eines Ransomware-Angriffs und zeigte sich offenbar nicht bereit, Lösegeld ➡ Weiterlesen