在本周三发布的最新白皮书中,FireEye警告说,SolarWinds供应链攻击中,黑客(美国情报服务和计算机安全机构认定是俄罗斯国家黑客组织)专门针对两类人:能够访问高级信息的人和系统管理员。

该报告介绍了黑客使用的四种“主要技术”:

  • 窃取Active Directory联合身份验证服务(AD FS)令牌签名证书,并使用它为任意用户伪造令牌,从而绕过各种身份验证要求。

  • 在Azure AD中修改或添加受信任的域,以添加由攻击者控制的新的联合身份提供程序(IdP)在网络上创建后门。

  • 入侵与Microsoft 365同步的高特权本地用户账户(例如,全局管理员或应用程序管理员)。

  • 通过添加新的应用程序或服务主体账户来对现有的Microsoft 365应用程序进行后门操作,以便使用分配给该应用程序的合法权限,例如能够读取电子邮件,以任意用户身份发送电子邮件、访问用户日历等。

至于缓解措施,FireEye广泛建议,审查所有系统管理员账户,特别是查看是否有任何“已配置或添加到特定服务主体的账户”并删除它们,然后搜索可疑的应用程序凭据并将其删除。该公司还在GitHub上发布了一个名为“Azure AD调查器”的免费检测工具(https://github.com/fireeye/Mandiant-Azure-AD-Investigator),该工具能够检测企业网络是否被SolarWinds Orion的后门软件入侵。

参考资料

Remediation and Hardening Strategies for Microsoft 365 to Defend Against UNC2452:

https://www.fireeye.com/content/dam/collateral/en/wp-m-unc2452.pdf

声明:本文来自安全牛,版权归作者所有。文章内容仅代表作者独立观点,不代表士冗科技立场,转载目的在于传递更多信息。如有侵权,请联系 service@expshell.com。