Microsoft ostrzega przed atakami na hasła przeciwko 250 użytkownikom Office 365
Według Microsoftu, różne ataki polegające na rozpylaniu haseł były skierowane przeciwko 250 użytkownikom Office 365 w izraelskim i amerykańskim sektorze technologii obronnych. Cyberprzestępcy próbują dostać się na wiele kont, używając wspólnych haseł. Ta technika zależy od tego, czy użytkownicy używają odmian popularnych haseł.
Cyberataki koncentrowały się na znaczącej organizacji infrastrukturalnej zlokalizowanej w Zatoce Perskiej i zostały przeprowadzone przez grupę (prawdopodobnie Irańską) oznaczoną jako DEV-0343. Ten tag DEV oznacza, że grupa cyberprzestępcza jest niepotwierdzoną grupą atakującą sponsorowaną przez państwo, ale potencjalnie może się nią stać.
Microsoft Threat Intelligence Center (MSTIC) stwierdziło, że postrzega DEV-0343 „prowadzące szeroko zakrojone rozpylanie haseł przeciwko ponad 250 najemcom Office 365, z naciskiem na amerykańskie i izraelskie firmy zajmujące się technologiami obronnymi, porty wejścia w Zatoce Perskiej lub globalne firmy transportu morskiego z obecnością biznesową na Bliskim Wschodzie."
Microsoft twierdził, że docelowi najemcy byli zagrożoni poniżej 20.
Organizacje, które religijnie wdrażają uwierzytelnianie wieloskładnikowe, mają znacznie niską szansę na skompromitowanie przez ataki polegające na rozpylaniu haseł.
Ta grupa cyberprzestępcza bierze na cel firmy wspierające organizacje izraelskie, unijne i amerykańskie, które produkują drony, systemy łączności w sytuacjach kryzysowych, radary wojskowe, analizy przestrzenne, systemy satelitarne, firmy transportowe morskie i towarowe oraz porty Zatoki Perskiej w regionie.
Według Microsoftu:
„Microsoft ocenia, że to ukierunkowanie wspiera śledzenie przez irański rząd wrogich służb bezpieczeństwa i żeglugi morskiej na Bliskim Wschodzie w celu ulepszenia ich planów awaryjnych. Uzyskanie dostępu do komercyjnych zdjęć satelitarnych oraz zastrzeżonych planów i dzienników wysyłki może pomóc Iranowi zrekompensować rozwijający się program satelitarny".
W zeszłym tygodniu Microsoft podniósł czerwoną flagę w związku z hakerami sponsorowanymi przez państwo rosyjskie, które określiły rosyjskich hakerów wywiadu jako aktywne zagrożenie na całym świecie. Gigant technologiczny dalej oświadczył, że hakerzy wspierani przez Kreml są bardzo skuteczni i płodni. Wspomniał również o znacznym wzroście irańskiego hakowania na irańskie firmy.
W najnowszym raporcie Digital Defense firmy Microsoft firma zauważyła:
„W tym roku nastąpił prawie czterokrotny wzrost ataków na izraelskie podmioty, w wyniku wyłącznie irańskich aktorów, którzy skupili się na Izraelu, gdy napięcia między adwersarzami gwałtownie eskalowały”
Niedawne ostrzeżenie giganta technologicznego skierowane do izraelskich i amerykańskich organizacji na Bliskim Wschodzie mówi, że powinny zachować czujność i zwracać uwagę na podejrzane połączenia z Torem w swoich sieciach.
Microsoft ostrzegł ich w poście na blogu:
„DEV-0343 przeprowadza rozległe spraye z hasłami, emulując przeglądarkę Firefox i używając adresów IP hostowanych w sieci proxy Tor. Najaktywniejsi są od niedzieli do czwartku między 7:30 a 20:30 czasu irańskiego (04:00:00 i 17:00:00 UTC) ze znacznymi spadkami aktywności przed 7:30 i po 8: 30 po południu czasu Iranu. Zazwyczaj kierują się na dziesiątki do setek kont w organizacji, w zależności od wielkości, i wyliczają każde konto od dziesiątek do tysięcy razy. Średnio w atakach na każdą organizację wykorzystywanych jest od 150 do ponad 1000 unikalnych adresów IP proxy Tora.”
DEV-0343 często przeprowadza ataki polegające na rozpylaniu haseł i celuje w punkty końcowe Exchange, takie jak ActiveSync i Autodiscover, co pozwala tej grupie hakerskiej na dalsze udoskonalanie działań związanych z rozpylaniem haseł, powiedział Microsoft.
Podstawową obroną zalecaną przez firmę Microsoft w celu ograniczenia tego jest włączenie uwierzytelniania wieloskładnikowego. To zablokuje zdalny dostęp do kont. Gigant zaleca również egzekwowanie zasad dostępu do Exchange Online, przeprowadzanie częstych kontroli administracyjnych i szukanie wszelkiego rodzaju ruchu przychodzącego z sieci Tor lub innych usług.