Il 19 gennaio Microsoft ha comunicato di aver subito un attacco da parte di Midnight Blizzard, il gruppo legato ai servizi segreti russi già responsabile dell’attacco a SolarWinds. L’intrusione è cominciata a fine novembre ed è stata scoperta solo il 12 gennaio. Gli attaccanti hanno avuto accesso a una piccola percentuale di caselle email aziendali, comprese quelle di membri dell’alta dirigenza e di dipendenti dei team di sicurezza e legali, e hanno sottratto email e allegati. Microsoft precisa che non è stata sfruttata alcuna vulnerabilità dei suoi prodotti.
All’inizio, nessuna tecnica sofisticata. Il gruppo ha usato un password spray: poche password molto comuni provate su molti account, con pochi tentativi ciascuno per non far scattare i blocchi. Così ha indovinato la password di un vecchio account di prova in un ambiente non di produzione, che non aveva l’autenticazione a due fattori. Uno di quegli account che ogni organizzazione ha e che nessuno ricorda di aver creato.
Dall’account di prova alle caselle dei dirigenti
Nell’ambiente di prova c’era una vecchia applicazione OAuth con permessi elevati sull’ambiente aziendale di Microsoft. Gli attaccanti l’hanno sfruttata, hanno creato altre applicazioni malevole e si sono assegnati un ruolo che consente di accedere a qualunque casella di Exchange Online. Secondo Microsoft cercavano soprattutto informazioni su loro stessi, cioè che cosa sapesse l’azienda di Midnight Blizzard. Cosa abbiano trovato, e se l’accesso si sia fermato alla posta, non è stato chiarito. Il 25 gennaio Microsoft ha pubblicato indicazioni dettagliate per aiutare le altre organizzazioni a individuare attacchi simili. Nel frattempo anche Hewlett Packard Enterprise ha comunicato di essere stata violata dallo stesso gruppo.
Se gestisci un tenant Microsoft 365, la lezione è concreta. Fai un inventario degli account di prova e dei tenant dimenticati: disattivali, oppure applica loro le stesse regole della produzione, MFA compresa. Poi controlla le applicazioni OAuth registrate e i permessi che hanno, a cominciare da quelli che consentono di leggere tutte le caselle. Togli quelle che non usi e limita chi può crearne di nuove o concedere il consenso.
Imposta allarmi per i tentativi di accesso distribuiti, tipici del password spray, e per la nascita di applicazioni con permessi elevati. E blocca le password più comuni: se un gruppo come Midnight Blizzard comincia da lì, vuol dire che funziona ancora.
