Microsoft hat bestätigte, dass eine hochentwickelte russische Hackergruppe, in Sicherheitskreisen als Midnight Blizzard, APT29 oder Nobelium bekannt, ihre Systeme infiltriert und E-Mail-Konten der höchsten Beamten des Unternehmens gehackt hat. Die Veranstaltung ist eine Erweiterung der Cyberspionageaktivitäten dieser Gruppe, die eng mit dem russischen Auslandsgeheimdienst (SVR) verbunden ist.
HPE von Sicherheitsvorfall betroffen
In ähnlicher Weise gab Hewlett Packard Enterprise (HPE) bekannt, dass es derselben Gruppe zum Opfer gefallen sei Dabei verschafften sich die Angreifer seit Mai 2023 unbefugten Zugriff auf die Microsoft Office 365-E-Mail-Umgebung von HPE und extrahierten sensible Daten. Die genaue Methode, mit der Microsoft HPE über den Verstoß informierte, bleibt unbekannt, obwohl Spekulationen darauf hindeuten, dass im Rahmen eines erweiterten Benachrichtigungsprozesses möglicherweise Ratschläge erteilt werden an andere von Midnight Blizzard angegriffene Organisationen.
Ursprünglicher Verstoß und Untersuchung
Nachdem das Cybersicherheitsteam von Microsoft den Verstoß am 12. Januar 2024 entdeckte, leitete es umgehend eine Untersuchung ein, um den Schaden und das Ausmaß des Verstoßes einzuschätzen das Eindringen. Die Untersuchung ergab, dass die Spear-Phishing-Kampagne Ende November 2023 begann und insbesondere darauf abzielte, Informationen über Midnight Blizzard selbst zu sammeln.
Mitarbeiter, deren E-Mail-Konten kompromittiert wurden, werden derzeit benachrichtigt. Besonders betroffen sind Mitglieder der Microsoft-Führungsebene sowie Mitarbeiter wichtiger Abteilungen wie Cybersicherheit und Recht. Obwohl sich die Datenexfiltration auf die interne Kommunikation bezog, zeigte sich Microsoft zuversichtlich, dass Kundenkonten von diesem Vorfall unberührt geblieben sind.
Microsoft war sich der Schwere dieser Verstöße bewusst und teilte die von den Hackern verwendeten Techniken mit und erläuterte detailliert, wie sie vorgingen nutzten Privat-Proxys und „Password Spraying“, um auf ein kritisches Testkonto zuzugreifen, das nicht durch Multi-Faktor-Authentifizierung (MFA) geschützt war. Die Anfälligkeit dieses Kontos ermöglichte es Hackern, bösartige OAuth-Anwendungen zu erstellen, was ihnen außerdem den Zugriff auf zusätzliche Unternehmenspostfächer ermöglichte.
Der Technologieriese hat diese Methoden nicht nur analysiert, sondern auch umfassende Erkennungs-und Jagdvorschläge angeboten, um Cybersicherheitsexperten dabei zu helfen, die Taktiken von Midnight Blizzard zu erkennen und zu vereiteln. Durch die Untersuchung von Exchange Web Services (EWS)-Protokollen und die Identifizierung der bekannten Verhaltensweisen der Bedrohungsgruppe konnte Microsoft zielt darauf ab, Organisationen gegen ähnliche staatlich geförderte Angriffe zu stärken.
