Microsoft continue d'enquêter sur la clé MSA volée lors d'attaques par email

Microsoft continue d’enquêter sur la manière dont un acteur malveillant a acquis la clé de connexion au compte qui a conduit à la violation des comptes de courrier électronique de plusieurs clients, y compris des agences gouvernementales américaines.

La semaine dernière, Microsoft a révélé qu'un acteur malveillant basé en Chine, suivi sous la référence Storm-0558, a compromis des comptes de courrier électronique en utilisant Outlook Web Access (OWA) dans Exchange Online et Outlook.com à des fins d'espionnage. Pour obtenir cet accès, les opérateurs de Storm-0558 ont dérobé une clé de signature Microsoft (MSA) grand public pour forger des jetons pour les utilisateurs d'Azure Active Directory (AD et MSA afin d'accéder aux comptes Exchange Online et OWA.

L'attaque a touché environ 25 organisations, y compris des agences gouvernementales, et a justifié une alerte de la part de l’agence américaine de la cybersécurité et de la sécurité des infrastructures (CISA). Selon celle-ci, une agence exécutive civile fédérale avait initialement détecté l'activité suspecte en juin et a été la première à la signaler à Microsoft. Bien que la CISA et Microsoft aient confirmé la semaine dernière qu'une clé MSA avait été volée, la manière dont ce vol a été conduit n'a pas été révélée.

Microsoft a publié une mise à jour vendredi après-midi confirmant que la société ne sait pas comment la clé MSA volée a été acquise. Cependant, il semble également que la technique de Storm-0558 ait été neutralisée par les mesures d'atténuation de Microsoft.

« La méthode par laquelle l'acteur a acquis la clé fait l'objet d'une enquête en cours », a écrit Microsoft dans un billet de blog : « aucune activité liée à la clé de l'acteur n'a été observée depuis que Microsoft a invalidé la clé de signature MSA acquise par l'acteur. De plus, nous avons vu la transition de Storm-0558 vers d'autres techniques, ce qui indique que l'acteur n'est pas en mesure d'utiliser ou d'accéder à d’autre clé de signature ».

De plus, Microsoft a déclaré que l'acteur de la menace a pu utiliser la clé volée en raison d'une « erreur de validation dans le code de Microsoft ». Cette erreur a permis à Storm-0558 d'utiliser une clé destinée uniquement aux comptes MSA sur les jetons d'authentification Azure AD. Le billet de blog précise entre que la clé de signature de MSA volée était inactive.