Кампания TeamFiltration скомпрометировала семь учетных записей Microsoft 365 через пароли по умолчанию
Исследователи в области кибербезопасности раскрыли детали активной кампании TeamFiltration под кодовым именем UNK_CondorFiltration, нацеленной на более чем 5 700 учетных записей в 28 тенантах Microsoft 365. Основной удар пришелся на чилийские розничные и финансовые организации. В результате атаки были скомпрометированы семь учетных записей — злоумышленники использовали пароли по умолчанию.
Подробности
Кампания UNK_CondorFiltration связана с известным инструментом TeamFiltration — фреймворком для атак на облачные сервисы Microsoft 365, который используется для перебора учетных данных, кражи токенов и обхода механизмов MFA. В ходе текущей кампании злоумышленники сосредоточились на эксплуатации слабых паролей, включая учетные данные по умолчанию, которые организации не сменили после развертывания сервисов. Итогом атаки стала компрометация семи учетных записей. Хотя процент успешных взломов относительно общего числа целей невелик, сам факт получения доступа к корпоративным аккаунтам Microsoft 365 создает серьезные риски: злоумышленники могут получить доступ к электронной почте, файловым хранилищам, внутренним коммуникациям и другим корпоративным ресурсам. Использование 1 487 уникальных IP-адресов AWS EC2 свидетельствует о распределенной инфраструктуре атаки. Это позволяет обходить простые механизмы блокировки по IP и затрудняет атрибуцию активности. Географическая направленность на Чили указывает на целенаправленный интерес злоумышленников к организациям этого региона, однако инфраструктура AWS EC2 носит глобальный характер, что не исключает расширения кампании на другие страны. Отдельного упоминания заслуживает то, что кампания остается активной — исследователи фиксируют продолжающуюся вредоносную активность, а не единичный инцидент.Что делать
В первую очередь необходимо провести аудит всех учетных записей Microsoft 365 на предмет использования паролей по умолчанию и слабых паролей. Особое внимание следует уделить сервисным и административным аккаунтам, которые часто остаются без должного контроля. Рекомендуется: - сменить все пароли по умолчанию и временные учетные данные, выданные при первоначальной настройке; - включить и настроить MFA для всех пользователей без исключения, а в идеале перейти на phishing-resistant методы аутентификации; - ограничить доступ к облачным сервисам по географическому признаку и IP-адресам, где это возможно; - настроить мониторинг подозрительной активности: входы из необычных локаций, множественные неудачные попытки аутентификации, аномальные обращения к API; - проверить журналы входов Microsoft 365 на предмет индикаторов компрометации, связанных с IP-адресами AWS EC2; - провести обучение сотрудников по распознаванию фишинговых атак, которые часто сопровождают подобные кампании. Организациям розничного и финансового секторов, особенно работающим в Чили или имеющим там представительства, следует отнестись к этим рекомендациям с повышенным приоритетом. Итог: кампания UNK_CondorFiltration наглядно демонстрирует, что даже массовые автоматизированные атаки достигают цели там, где остаются пароли по умолчанию и не включена MFA. Своевременный аудит учетных данных и многофакторная аутентификация остаются базовыми, но критически важными мерами защиты облачных сервисов.Источник: The Hacker News