微软发现与伊朗相关的APT组织,瞄准美国和以色列国防公司

安全
微软报告发现了一个恶意活动组织,其目标是攻击美国和以色列的国防技术公司的Office 365用户。

微软报告发现了一个恶意活动组织,其目标是攻击美国和以色列的国防技术公司的Office 365用户。

10月11日消息,微软威胁情报中心(MSTIC)和微软数字安全部(DSU)的研究人员发现了一个恶意活动集群,被追踪为DEV-0343,其目标是美国和以色列国防技术公司的Office 365用户。

[[428413]]

微软称,不到20个Office 365用户被入侵

研究人员称DEV-0343团伙与伊朗相关,主要瞄准美国、欧盟和以色列政府合作的国防公司,如生产军事级雷达、无人机技术、卫生系统和应急通信系统的国防公司。

微软威胁情报中心在2021年7月下旬首次观察到DEV-0343并开始追踪。DEV-0343对250多个Office 365用户进行大范围密码喷射,主要瞄准美国和以色列的国防技术公司、波斯湾港口或在中东有业务的全球海运和货运公司。

“只有不到20个Office 365用户被入侵,但DEV-0343仍然在不断改进技术以提高攻击完成度。”微软表示,启用了多因素认证(MFA)的Office 365帐户则未被密码喷射攻击攻破。

微软研究人员表示,该团伙的活动与伊朗方面的利益相一致,其TTP与另一个与伊朗相关的网络组织活动相似。

研究人员推测,攻击者目的是获得商业卫星图像

研究人员推测,攻击者目的是获得商业卫星图像和航运计划日志。DEV-0343攻击者还利用一系列精心设计的Tor IP地址来混淆其攻击行为和基础设施。

“DEV-0343模拟火狐浏览器,使用托管在Tor代理网络上的IP进行大范围密码喷射。攻击者在伊朗时间周日和周四上午7:30至晚上8:30(UTC+3.5)之间最为活跃。他们通常针对组织内的数十到数百个帐户,并对每个帐户进行数十到数千次的枚举。平均而言,针对每个组织的攻击使用了150至1000多个Tor代理IP地址。"

报告称,“DEV-0343攻击者通常针对两个Exchange端点:Autodiscover和ActiveSync,将这两个端点作为枚举和密码喷洒的工具,验证活跃账户和密码,并进一步完善其密码喷射攻击。”

微软称已通知被针对或受到攻击的用户,为他们提供了保护其账户所需的信息。

微软建议企业自查日志中有无以下活动,以确定其基础设施是否被攻击:

  • 来自Tor IP地址的密码攻击流量
  • 在密码喷射活动中模拟FireFox(最常见)或Chrome浏览器
  • 枚举Exchange ActiveSync(最常见)或Autodiscover端点
  • 使用类似于 "o365spray "工具的枚举/密码喷射工具
  • 使用Autodiscover来验证账户和密码
  • 观察到的密码喷洒活动通常在UTC 4:00:00和11:00:00之间达到高峰

以下是微软分享的缓解DEV-0343攻击的防御措施:

  • 启用多因素认证,以减少凭证泄露。
  • Office 365用户,请参阅多因素认证支持。
  • 对于消费者和个人电子邮件账户,请参阅如何使用两步验证。
  • 微软鼓励所有客户下载和使用无密码解决方案。
  • 审查并执行建议的Exchange Online访问策略。
  • 阻止ActiveSync绕过有条件访问策略。
  • 尽可能阻止来自匿名服务的所有传入流量。

参考链接:https://securityaffairs.co/wordpress/123219/apt/dev-0343-apt-campaing.html

 

责任编辑:赵宁宁 来源: FreeBuf
相关推荐

2020-12-22 10:50:01

黑客勒索软件攻击

2024-01-08 18:54:22

2009-09-10 09:29:09

Linux组织Linux微软专利

2020-08-14 16:36:13

网络安全黑客技术

2014-07-04 14:56:45

2022-06-09 12:23:26

数据泄露网络攻击

2023-07-07 15:47:03

2012-06-20 09:44:56

2015-11-06 16:46:20

2020-12-08 18:35:56

黑客攻击网络安全

2021-10-21 08:56:34

APT组织漏洞攻击

2015-09-09 10:03:55

2023-09-10 22:47:39

2020-09-23 09:08:55

黑客APT39网络空间

2021-12-27 09:43:32

恶意代码APT攻击

2021-08-04 11:02:50

以色列政府勒索软件网络攻击

2021-08-19 15:43:39

供应链攻击黑客网络攻击

2022-04-04 14:30:46

黑客网络攻击

2023-12-26 18:09:26

2021-11-29 13:45:54

黑客监视工具间谍
点赞
收藏

51CTO技术栈公众号