Los delincuentes informáticos iraníes han atacado recientemente a Microsoft en el que más de 250 cuentas de Microsoft Office 365 que están vinculadas a los Estados Unidos, la Unión Europea y el gobierno israelí se vieron comprometidas a través de la propagación integral de contraseñas.

A pesar de tener una fuerte protección, los actores de amenazas iraníes han logrado clasificar las vulnerabilidades de la protección de su empresa e infiltrarse en ellas. 

Tras conocer el ataque, Microsoft afirma que las organizaciones que han sido atacadas por grupos iraníes están trabajando actualmente con la UE, Estados Unidos e Israel en la producción de tecnologías de defensa.

Comportamientos anotados

Los atacantes están utilizando una serie de comportamientos y tácticas, y es por eso que aquí mencionamos algunos de ellos a continuación: -

  • Tráfico entrante completo desde direcciones IP de Tor para campañas de rociado de contraseñas
  • Emulación de navegadores Firefox o Chrome en campañas de rociado de contraseñas
  • Enumeración de Exchange ActiveSync (más común) o puntos finales de detección automática
  • Uso de la herramienta de enumeración / aplicación de contraseña comparable a la herramienta 'o365spray' alojada en https://github.com/0xZDH/o365spray
  • Uso de detección automática para verificar cuentas y contraseñas
  • Se encontró actividad de rociado de contraseñas que comúnmente supera entre las 04:00:00 y las 11:00:00 UTC

Precauciones recomendadas

Estas son algunas de las defensas que deben seguir las organizaciones para mantenerse a salvo de este tipo de ataque: 

  • Permita siempre la autenticación multifactor.
  • Microsoft ayuda a los clientes a descargar y usar resoluciones sin contraseña como Microsoft Authenticator para mantener las cuentas seguras.
  • Examine e implemente las políticas de acceso aprobadas de Exchange Online.
  • Recuerde bloquear todo el tráfico entrante de los servicios de anonimización.

El motivo principal de los operadores del DEV-0343 es obtener acceso a la descripción de satélites comerciales y sus propios planes y registros de envío, que se utilizarían para aumentar el programa de satélites en desarrollo de Irán.

Es por eso que Microsoft afirmó que todos y cada uno de los clientes deben estar al tanto de este tipo de ataques, ya que son de naturaleza bastante dañina y pueden tener un gran impacto en diferentes organizaciones.

Fuente gbhackers