Los piratas informáticos abusan de las cuentas de Microsoft Entra ID para filtrar datos de Microsoft 365 y Azure

Un actor de amenazas conocido como Storm-2949 ha lanzado una sofisticada campaña de ataque en la nube de múltiples capas dirigida a cuentas de Microsoft Entra ID para robar datos confidenciales de los entornos Microsoft 365 y Azure. La campaña fue descubierta recientemente y ha generado serias preocupaciones sobre cómo los atacantes modernos pueden abusar de funciones legítimas de la nube para llevar a cabo robos de datos a gran escala en todas las organizaciones.

Lo que hace que este ataque se destaque es que no se basó en malware tradicional ni en exploits a nivel de dispositivo. En cambio, los atacantes utilizaron herramientas legítimas de administración de la nube y funciones administrativas de Microsoft para moverse silenciosamente por toda la infraestructura de la nube de una organización. Los archivos confidenciales, las credenciales de bases de datos, los secretos de aplicaciones y los datos almacenados cayeron en manos de los atacantes. Microsoft dijo en un informe compartido con Cyber ​​Security News (CSN) que Storm-2949 ejecutó una campaña incesante centrada en extraer la mayor cantidad posible de datos confidenciales de los activos de alto valor de una organización objetivo.

El ataque abarcó aplicaciones de Microsoft 365, servicios de alojamiento de archivos y entornos de producción alojados en Azure, afectando a las capas SaaS, PaaS e IaaS en todos los ámbitos. Para extraer datos de Azure Storage, los atacantes manipularon la configuración de acceso a la red y abusaron de las operaciones de listado de claves de cuentas de almacenamiento para obtener tokens de firma de acceso compartido.

Consultar publicación original ↗