SolarWinds ハッカーが明らかに偵察任務で Microsoft を攻撃

Microsoftは先週末、同社のシステムがMidnight Blizzardによって2023年末に侵入されたことを明らかにした。Midnight Blizzardは、ほぼ正確に3年前に悪名高いサンバースト/ソロリゲート事件でSolarWinds Orionプラットフォームを侵害したクレムリン支援のハッカーと同じ人物である。調整され、的を絞った情報収集活動が行われました。

2024年1月19日金曜日遅くに投稿された発表の中で、Microsoftは1月12日に攻撃を検知し、ただちに社内のインシデント対応プロセスを起動して攻撃を中断し、ハッカーをシステムから追い出すことができたと述べた。

過去数週間の調査で、Midnight Blizzard がパスワード スプレー攻撃を介して従来の非運用テスト テナント アカウントにアクセスしたことが判明しました。パスワード スプレー攻撃は、攻撃者が膨大な数の潜在的なユーザー名と資格情報を標的に巡回させるブルート フォース手法の一種です。幸運にマッチングする人が見つかるまで、システムを維持します。

そこから、攻撃者はアカウントの昇格されたアクセス許可を使用して、サイバー セキュリティおよび法務部門の上級幹部および従業員に属する Microsoft 企業の電子メール アカウントを標的にしました。 一部の電子メールと文書が持ち去られました。

Microsoftは声明で、「捜査の結果、彼らは当初、Midnight Blizzard自体に関連する情報を得るために電子メールアカウントをターゲットにしていたことが判明した」と述べた。 「電子メールがアクセスされた従業員に通知を行っているところです。」

Midnight Blizzard は、ロシア国家が運営する最も活発な高度持続的脅威 (APT) 作戦の 1 つです。 Microsoft の脅威分類が変更される前は、以前は Nobelium というあだ名で呼ばれていましたが、他の研究者は APT29、UNC2452、そしておそらく最も有名な Cozy Bear という名前を付けました。

同社は「この攻撃はマイクロソフトの製品やサービスの脆弱性が原因ではなかった」と述べた。 「現時点で、脅威アクターが顧客環境、実稼働システム、ソースコード、または AI にアクセスしたという証拠はありません。 [artificial intelligence] システム。 何らかの対応が必要な場合はお客様に通知します。 この攻撃は、Midnight Blizzard のような豊富なリソースを備えた国民国家の脅威アクターによって、すべての組織に継続的なリスクがもたらされることを浮き彫りにしています。」

Microsoftは、今回の事件は、セキュリティとビジネスへのリスクとの間の内部バランスをより適切に保つためにさらに迅速に取り組む必要性を浮き彫りにしたと述べ、たとえ一部のプロセスにとって問題となる可能性がある場合でも、より厳格な標準の適用を進めることを誓った。

Microsoftは「われわれは調査を継続しており、この調査結果に基づいて追加の措置を講じるとともに、引き続き法執行機関や適切な規制当局と協力していく」と述べた。 「私たちは、コミュニティが脅威アクターに関する私たちの経験と観察の両方から利益を得られるように、より多くの情報と私たちの学習を共有することに深く取り組んでいます。 必要に応じて追加の詳細を提供します。」