Microsoft warnt vor Passwortangriffen auf 250 Office 365-Benutzer
Laut Microsoft wurden verschiedene Passwort-Spraying-Angriffe gegen die 250 Office 365-Benutzer im israelischen und US-amerikanischen Verteidigungstechnologiesektor durchgeführt. Cyberangreifer versuchen, mit gemeinsamen Kennwörtern in mehrere Konten einzudringen. Diese Technik hängt davon ab, ob Benutzer Variationen gängiger Kennwörter verwenden.
Die Cyberangriffe konzentrierten sich auf eine bedeutende Infrastrukturorganisation im Persischen Golf und wurden von einer (wahrscheinlich iranischen) Gruppe durchgeführt, die als DEV-0343 verfolgt wurde. Dieses DEV-Tag bedeutet, dass die cyberkriminelle Gruppe eine unbestätigte staatlich geförderte Angriffsgruppe ist, aber möglicherweise eine werden kann.
Das Microsoft Threat Intelligence Center (MSTIC) gab an, dass es DEV-0343 wahrgenommen hat, „umfassendes Passwort-Spraying gegen mehr als 250 Office 365-Mieter durchzuführen, mit Schwerpunkt auf US-amerikanischen und israelischen Verteidigungstechnologieunternehmen, Einreisehäfen am Persischen Golf oder globalen Seetransportunternehmen mit Geschäftspräsenz im Nahen Osten."
Microsoft behauptete, dass weniger als 20 betroffene Mieter betroffen seien .
Die Organisationen, die religiös Multi-Faktor-Authentifizierung einsetzen, haben ein sehr geringes Risiko, durch Kennwort-Spraying-Angriffe kompromittiert zu werden.
Diese cyberkriminelle Gruppe zielt auf Unternehmen ab, die israelische, EU- und US-Organisationen unterstützen, die Drohnen, Notfallkommunikationssysteme, Militärradare, räumliche Analysen, Satellitensysteme, See- und Frachttransportunternehmen und Häfen am Persischen Golf in der Region herstellen.
Laut Microsoft:
„Microsoft geht davon aus, dass dieses Targeting die Verfolgung gegnerischer Sicherheitsdienste und der Seeschifffahrt im Nahen Osten durch die iranische Regierung unterstützt, um ihre Notfallpläne zu verbessern. Der Zugang zu kommerziellen Satellitenbildern und proprietären Schifffahrtsplänen und -protokollen könnte dem Iran helfen, sein sich entwickelndes Satellitenprogramm zu kompensieren.”
Letzte Woche wurde von Microsoft eine rote Flagge über staatlich gefördertes Hacking von Russland gehisst, das die russischen Geheimdiensthacker als aktive Bedrohung auf der ganzen Welt bezeichnete. Der Technologieriese erklärte weiter, dass die vom Kreml unterstützten Hacker sehr effektiv und produktiv seien. Es erwähnte auch einen signifikanten Anstieg des iranischen Hackings auf iranische Unternehmen.
Im neuesten Digital Defense Report von Microsoft stellte das Unternehmen fest:
„In diesem Jahr hat sich die Ausrichtung auf israelische Einheiten fast vervierfacht, was ausschließlich auf iranische Akteure zurückzuführen ist, die sich auf Israel konzentrierten, als die Spannungen zwischen den Gegnern stark eskalierten.”
Die jüngste Warnung des Technologieriesen an israelische und US-Organisationen im Nahen Osten erwähnt, dass sie wachsam sein und nach verdächtigen Tor-Verbindungen in ihren Netzwerken Ausschau halten sollten.
Microsoft warnte sie in einem Blogbeitrag:
„DEV-0343 führt umfangreiche Passwort-Sprays durch, die einen Firefox-Browser emulieren und IPs verwenden, die in einem Tor-Proxy-Netzwerk gehostet werden. Sie sind am aktivsten zwischen Sonntag und Donnerstag zwischen 7:30 Uhr und 20:30 Uhr iranischer Zeit (04:00:00 Uhr und 17:00:00 Uhr UTC) mit erheblichen Aktivitätseinbrüchen vor 7:30 Uhr und nach 8:00 Uhr: 30 Uhr iranische Zeit. Sie zielen in der Regel auf Dutzende bis Hunderte von Konten innerhalb einer Organisation ab, je nach Größe, und zählen jedes Konto Dutzende bis Tausende Male auf. Im Durchschnitt werden zwischen 150 und 1.000 eindeutige Tor-Proxy-IP-Adressen bei Angriffen gegen jede Organisation verwendet.”
DEV-0343 führt häufig Passwort-Spraying-Angriffe durch und zielt auf Exchange-Endpunkte wie ActiveSync und Autodiscover ab, was es dieser Hacking-Gruppe ermöglicht, ihre Passwort-Spraying-Aktivitäten weiter zu verfeinern, sagte Microsoft.
Die primäre Verteidigung, die von Microsoft empfohlen wird, um dies einzudämmen, ist die Aktivierung der Multi-Faktor-Authentifizierung. Dadurch wird der Fernzugriff auf Konten blockiert. Der Riese empfiehlt außerdem, Zugriffsrichtlinien für Exchange Online durchzusetzen, häufige Administratorprüfungen durchzuführen und nach jeglicher Art von eingehendem Datenverkehr von einem Tor-Netzwerk oder anderen Diensten zu suchen.