Microsoft Azure-omgevingen en -gebruikersaccounts doelwit van aanvallen

Hiervoor waarschuwen onderzoekers van Proofpoint op basis van onderzoek. Zij ontdekten eind november 2023 een nieuwe cybercrimecampagne die credential phishing en Account Take Over (ATO) technieken uit de cloud integreert. De campagne - die nog altijd actief is - richt zich met phishing op gebruikers via gedeelde documenten. Bijvoorbeeld via ingesloten koppelingen naar ‘document weergeven’. Zodra de gebruiker op de link klikt, gaat hij naar een schadelijke phishing-webpagina.

Breed scala aan functies is doelwit

De campagne richt zich op veel personen met verschillende titels binnen verschillende organisaties. Hierdoor treffen de threat actors honderden gebruikers wereldwijd, zoals Sales Directors, Account Managers en Finance Managers. De campagne treft ook individuele executives, zoals Vice President Operations, Chief Financial Officers & Treasurer en President & CEO’s. De diverse selectie van doelwitten duidt volgens Proofpoint op een praktische strategie die zich focust op het in gevaar brengen van accounts met verschillende toegangsniveaus tot waardevolle bronnen en verantwoordelijkheden in verschillende organisatorische functies.

Onderzoekers van Proofpoint identificeren specifieke Indicators of Compromise (IOC’s) van de campagne. Zo gebruiken de dreigingsactoren een specifieke Linux user-agent tijdens de toegangsfase van de aanvalsketen. Zo krijgen ze toegang tot de aanmeldingsapplicatie ‘OfficeHome’ en ongeautoriseerde toegang tot aanvullende native Microsoft 365-applicaties, zoals:

• ‘Office365 Shell WCSS-Client’ (wijst op toegang via de browser tot Office365-applicaties)
• ‘Office 365 Exchange Online’ (wijst op postcompromis misbruiken van mailboxen, data-exfiltratie en e-maildreigingen)
• ‘Mijn logins (‘My Signins’ (aanvallers gebruiken dit voor Multi-Factor Authenticatie (MFA) manipulatie)
• Mijn applicaties (‘My Apps’)
• Mijn profiel (‘My Profile’)

Succesvolle initiële toegang leidt vaak tot een reeks malafide activiteiten na het compromitteren, waaronder MFA-manipulatie, data-exfiltratie, interne en externe phishing en financiële fraude. Ook mailboxregels, waarbij aanvallers regels voor het uitwissen van hun sporen en het verwijderen van kwaadaardige activiteiten uit de mailbox van de slachtoffers maken, behoort in deze reeks.

Operationele infrastructuur

De forensische analyse wijst uit dat de aanval verschillende proxy’s, datahostingdiensten en gekaapte domeinen aan het licht brengt. Deze vormen de operationele infrastructuur van de aanvallers. Door het gebruik van proxyservices, die de ogenschijnlijke geografische herkomst van ongeautoriseerde activiteiten afstemmen op die van de beoogde slachtoffers, omzeilen ze het geo-fencingbeleid. Bovendien stelt het gebruik van vaak wisselende proxyservices dreigingsactoren in staat om hun ware locatie te verhullen. Dit vormt een extra uitdaging voor verdedigers die deze activiteiten blokkeren. Daarnaast gebruiken de dreigingsactoren bepaalde lokale vaste ISP’s. Dit belemmert het weergeven van hun geografische locatie.

Wat opvalt onder deze non-proxy bronnen zijn het in Rusland gevestigde ‘Selena Telecom LLC’ en de Nigeriaanse providers 'Airtel Networks Limited' en 'MTN Nigeria Communication Limited'. De campagne is nog niet toegeschreven aan een bekende dreigingsactor. Proofpoint wijst echter op de mogelijkheid dat er Russische en Nigeriaanse aanvallers bij betrokken zijn, wat parallellen trekt met eerdere cloudaanvallen.

Maatregelen

Proofpoint wijst op vijf maatregelen die bijdragen aan het versterken van de verdediging van een organisatie:

1. Detecteer en beperk potentiële dreigingen. Loop de logboeken van de organisatie na op specifieke tekenreeksen van de user-agent en brondomeinen.
2. Dwing onmiddellijke wijzigingen van referenties af voor gecompromitteerde en beoogde gebruikers en forceer periodiek wijziging van wachtwoorden voor alle gebruikers.
3. Identificeer Account Take Overs (ATOs) en potentieel ongeautoriseerde toegang tot gevoelige bronnen in de cloudomgeving.
4. Identificeer initiële dreigingsvectoren, waaronder e-maildreigingen (zoals phishing, malware, imitatie enz.), brute-force aanvallen en wachtwoordspraypogingen.
5. Beperk de verblijfstijd van aanvallers. Zet een beleid voor automatische herstelmaatregelen in en minimaliseer mogelijke schade.

Het Cloud Security Response Team van Proofpoint volgt deze dreiging op de voet. Op basis van latere ontdekkingen kunnen aanvullende IOC’s worden toegevoegd.

Meer informatie is hier beschikbaar.