Microsoft avverte degli attacchi alle password contro 250 utenti di Office 365
Secondo Microsoft, vari attacchi di password spraying sono stati presi di mira contro i 250 utenti di Office 365 nel settore della tecnologia di difesa israeliana e statunitense. Gli aggressori informatici cercano di entrare in più account utilizzando password comuni. Questa tecnica dipende dagli utenti che utilizzano varianti di password comuni.
Gli attacchi informatici si sono concentrati su una significativa organizzazione infrastrutturale situata nel Golfo Persico e sono stati effettuati da un gruppo (probabilmente iraniano) rintracciato come DEV-0343. Questo tag DEV significa che il gruppo di criminali informatici è un gruppo di attacco sponsorizzato dallo stato non confermato ma può potenzialmente diventarlo.
Il Microsoft Threat Intelligence Center (MSTIC) ha dichiarato di aver percepito il DEV-0343 "conducendo un'estesa spruzzatura di password contro più di 250 inquilini di Office 365, con particolare attenzione alle società di tecnologia della difesa statunitensi e israeliane, ai porti di ingresso del Golfo Persico o alle società di trasporto marittimo globale con presenza commerciale in Medio Oriente".
Microsoft ha affermato che gli inquilini presi di mira compromessi erano inferiori a 20.
Le organizzazioni che implementano religiosamente l'autenticazione a più fattori hanno una probabilità significativamente bassa di essere compromesse da attacchi spray di password.
Questo gruppo di criminali informatici prende di mira le aziende che supportano le organizzazioni israeliane, europee e statunitensi che producono droni, sistemi di comunicazione di risposta alle emergenze, radar militari, analisi spaziali, sistemi satellitari, compagnie di trasporto marittimo e merci e porti del Golfo Persico nella regione.
Secondo Microsoft:
“Microsoft valuta che questo targeting supporti il monitoraggio del governo iraniano dei servizi di sicurezza avversari e delle spedizioni marittime in Medio Oriente per migliorare i loro piani di emergenza. Ottenere l'accesso alle immagini satellitari commerciali e ai piani e registri di spedizione proprietari potrebbe aiutare l'Iran a compensare il suo programma satellitare in via di sviluppo ".
La scorsa settimana, Microsoft ha alzato una bandiera rossa per l'hacking sponsorizzato dallo stato russo che ha etichettato gli hacker dell'intelligence russa come una minaccia attiva in tutto il mondo. Il gigante della tecnologia ha inoltre dichiarato che gli hacker sostenuti dal Cremlino sono molto efficaci e prolifici. Ha anche menzionato un aumento significativo dell'hacking iraniano sulle società iraniane.
Nell'ultimo rapporto sulla difesa digitale di Microsoft, la società ha osservato:
"Quest'anno ha segnato una quasi quadruplicazione nel prendere di mira le entità israeliane, un risultato esclusivamente di attori iraniani, che si sono concentrati su Israele mentre le tensioni tra gli avversari sono aumentate drasticamente"
Il recente avvertimento del gigante della tecnologia alle organizzazioni israeliane e statunitensi in Medio Oriente afferma che dovrebbero essere vigili e prestare attenzione alle connessioni Tor sospette sulle loro reti.
Microsoft li ha avvertiti in un post sul blog:
“DEV-0343 effettua numerosi spray di password emulando un browser Firefox e utilizzando IP ospitati su una rete proxy Tor. Sono più attivi tra domenica e giovedì tra le 7:30 e le 20:30 ora dell'Iran (04:00:00 e 17:00:00 UTC) con cali significativi dell'attività prima delle 7:30 e dopo le 8: 30:00 ora dell'Iran. In genere prendono di mira da decine a centinaia di account all'interno di un'organizzazione, a seconda delle dimensioni, ed enumerano ogni account da decine a migliaia di volte. In media, negli attacchi contro ciascuna organizzazione vengono utilizzati tra 150 e 1.000+ indirizzi IP proxy Tor univoci",
DEV-0343 conduce frequentemente attacchi di spruzzatura delle password e prende di mira gli endpoint di Exchange, come ActiveSync e Autodiscover, che consentono a questo gruppo di hacker di perfezionare ulteriormente la propria attività di spruzzatura delle password, ha affermato Microsoft.
La difesa principale consigliata da Microsoft per frenare questo è abilitare l'autenticazione a più fattori. Questo bloccherà l'accesso remoto agli account. Il gigante consiglia inoltre di applicare criteri di accesso a Exchange Online, eseguire frequenti controlli dell'amministratore e cercare qualsiasi tipo di traffico in entrata da una rete Tor o altri servizi.