Хакери използваха партньорска програма на Microsoft за измами

Измамници са използвали статус на "проверен издател", за да проникват в облачни среди на корпоративни жертви

Microsoft обяви деактивирането на няколко акаунта в партньорската си мрежа, станали част от напреднала фишинг кампания, насочена предимно към корпоративни потребители в Обединеното кралство и Ирландия. Самата Microsoft също може да бъде приписана към жертвите, тъй като статусът на партньор на тези акаунти е бил присвоен също чрез измама.

Акаунтите са използвани от нападатели за разпространение на злонамерени приложения, които използват протокола за авторизация Oauth. С помощта им са компрометирани облачни ресурси и пощенските акаунти. Измамниците са използвали социално инженерство, за да примамят жертвите да разрешат тези приложения в тяхната облачна инфраструктура.

Компанията Proofpoint публикува доклад, в който се посочва, че нападателите са използвали статуса на "проверен издател" на приложенията, за да проникнат в облачните среди на целевите организации. Те са се представяли за представители на популярни марки като Zoom. Успели са да измамят не само целевите организации, но и самата Microsoft.

"Атакуващите са използвали измамни партньорски акаунти, за да получат потвърден печат на издател за OAuth приложения, изградени в Azure AD", се казва в изявление на компанията.

Измамните приложения са искали различни привилегии, включително достъп за четене на имейли, промяна на настройките на пощенската кутия и достъп до файлове и други данни, свързани с акаунта на жертвите. Сред последните са представители на финансови и маркетингови отдели на целевите компании, както и мениджъри и директори.

Първите такива атаки са забелязани в началото на декември 2022 г., когато нападателите са използвали фалшиви облачни приложения, уж пуснати от Zoom, за извличане на чувствителни данни.

На 20 декември 2022 г. Proofpoint е уведомила Microsoft за случващото се и на 27 декември всички измамни акаунти са били блокирани. От Microsoft отбелязват, че са предприели допълнителни мерки за защита, за да гарантират, че подобни инциденти няма да се повторят в бъдеще.

Ситуации, при които сертификати за сигурност, са попаднали в грешни ръце и са били използвани при кибератаки, не са нещо ново. Получаването на партньорски статус чрез измама обаче е рядко явление.