Microsoft advierte sobre ataques de contraseña contra 250 usuarios de Office 365
Según Microsoft, se han dirigido varios ataques de rociado de contraseñas contra los 250 usuarios de Office 365 en el sector de tecnología de defensa israelí y estadounidense. Los atacantes cibernéticos intentan acceder a varias cuentas utilizando contraseñas comunes. Esta técnica depende de que los usuarios utilicen variaciones de contraseñas comunes.
Los ataques cibernéticos se centraron en una importante organización de infraestructura ubicada en el Golfo Pérsico y fueron llevados a cabo por un grupo (probablemente iraní) rastreado como DEV-0343. Esta etiqueta DEV significa que el grupo de ciberdelincuentes es un grupo de ataque patrocinado por el estado no confirmado, pero que potencialmente puede convertirse en uno.
El Centro de Inteligencia de Amenazas de Microsoft (MSTIC) declaró que percibió que DEV-0343 “llevaba a cabo un extenso rociado de contraseñas contra más de 250 inquilinos de Office 365, con un enfoque en las empresas de tecnología de defensa de EE. UU. e Israel, los puertos de entrada del Golfo Pérsico o las empresas de transporte marítimo global. con presencia empresarial en Oriente Medio".
Microsoft afirmó que los inquilinos objetivo comprometidos estaban por debajo de 20.
Las organizaciones que implementan religiosamente la autenticación multifactor tienen una probabilidad significativamente baja de verse comprometidas por ataques de rociado de contraseñas.
Este grupo de ciberdelincuentes se dirige a empresas que apoyan a organizaciones israelíes, de la UE y de EE. UU. que producen drones, sistemas de comunicación de respuesta a emergencias, radares militares, análisis espacial, sistemas satelitales, empresas de transporte marítimo y de carga y puertos del Golfo Pérsico en la región.
Según Microsoft:
“Microsoft evalúa que esta orientación respalda el seguimiento del gobierno iraní de los servicios de seguridad del adversario y el envío marítimo en el Medio Oriente para mejorar sus planes de contingencia. Obtener acceso a imágenes satelitales comerciales y planes y registros de envío patentados podría ayudar a Irán a compensar su programa satelital en desarrollo".
La semana pasada, Microsoft levantó una bandera roja sobre la piratería patrocinada por el estado ruso que calificó a los piratas informáticos de inteligencia rusos como una amenaza activa en todo el mundo. El gigante tecnológico declaró además que los piratas informáticos respaldados por el Kremlin son muy efectivos y prolíficos. También mencionó un aumento significativo en la piratería iraní en empresas iraníes.
En el último Informe de defensa digital de Microsoft, la empresa señaló:
“Este año marcó una casi cuadruplicación en los ataques contra entidades israelíes, resultado exclusivamente de los actores iraníes, que se centraron en Israel a medida que las tensiones aumentaron drásticamente entre los adversarios”
La reciente advertencia del gigante tecnológico a las organizaciones israelíes y estadounidenses en el Medio Oriente menciona que deben estar atentos y buscar conexiones Tor sospechosas en sus redes.
Microsoft les advirtió en una publicación de blog:
“DEV-0343 lleva a cabo extensas aplicaciones de contraseñas emulando un navegador Firefox y usando direcciones IP alojadas en una red proxy Tor. Son más activos entre el domingo y el jueves entre las 7:30 a. m. y las 8:30 p. m., hora de Irán (04:00:00 y 17:00:00 UTC), con caídas significativas en la actividad antes de las 7:30 a. m. y después de las 8:00 p. m.: 30 p. m., hora de Irán. Por lo general, se dirigen a decenas o cientos de cuentas dentro de una organización, según el tamaño, y enumeran cada cuenta entre decenas y miles de veces. En promedio, se utilizan entre 150 y más de 1000 direcciones IP de proxy Tor únicas en los ataques contra cada organización.
DEV-0343 realiza con frecuencia ataques de rociado de contraseñas y se dirige a puntos finales de Exchange, como ActiveSync y Autodiscover, lo que permite a este grupo de piratería refinar aún más su actividad de rociado de contraseñas, dijo Microsoft.
La principal defensa recomendada por Microsoft para frenar esto es habilitar la autenticación multifactor. Esto bloqueará el acceso remoto a las cuentas. El gigante también recomienda hacer cumplir las políticas de acceso de Exchange Online, ejecutar controles de administración frecuentes y buscar cualquier tipo de tráfico entrante de una red Tor u otros servicios.