Brute-force атака удари потребители на Office 365

Последен ъпдейт на 28 юни 2018 в 01:50 ч.

Киберпрестъпниците стават все по-изобретателни в стремежа си да се доберат до чувствителна информация. Наскоро разбрахме, че 48 компании, ползващи облачната услуга на Microsoft Office 365 са станали жертва на нова стратегия за получаване на нерегламентиран достъп до бизнес данни.

Тази атака с „груба сила“ (brute force attack) е различна от останалите с това, че жертвите са малко на брой в сравнение със засегнатите компании. Засечени са 100 хил. провалени опита за логване от 67 различни IP адреса в 12 отделни мрежи за период от 7 месеца.

Именно дългият период време и ограниченият брой потърпевши позволяват на хакерите да останат „под радара“ на Microsoft. Друг интересен факт е, че пробивът е бил облак-към-облак. Хакерите са използвали инфраструктурата на публична хостинг компания, за да атакуват облачна SaaS услуга.

Microsoft Office 365 Users Targeted in Brute Force Attacks https://t.co/nVDWtrTC6R

— DarkReading (@DarkReading) July 20, 2017

Нова стратегия

Първата стъпка на хакерите била да си набавят бизнес логини и пароли от различни компани, които ползват различни облачни услуги (не само Office 365). Престъпниците пробвали всевъзможни варианти на имейл адреси. Например човек на име Тодор Петров в компанията „X“ е бил подложен на стотици опити за логин в имейл адреси с всякакви разновидности на изписване, като [email protected], [email protected] и т.н. Един от акаунтите бил подложен на атака от 14 различни IP-та със 17 различни вариации на имейл адрес в рамките на само 4 секунди. Изглежда, че престъпниците са използвали една и съща парола за различните начини на изписване, което им позволило да сменят името, но не и паролата. Друго предположение е, че акаунтите на са имали двуфакторна верификация.

Прочетете повече: Колко безопасни са публичните облаци за съхранение на бизнес информация?

Игла в купа сено

Хакерите разтягат умишлено продължителността на операцията. Те се фокусират върху един човек, и дори тогава, атаката трае броени секунди. Целят се във високопоставени служители на различни компании, за да не изглежда така че атаката е само срещу една. Това, в комбинация с различните IP адреси, от които произлизат опитите за пробив, прави атаката практически незабележима.

Планирането и изпълнението изглеждат изключително сложни. Как тогава е открит пробивът?

Първите съмнения се появяват когато Cloud Access Security Broker засича редица неуспешни опити за влизане – аномалия, която може да се дължи на опит за получаване на нерегламентиран достъп. Само по себе си това не води до нищо, но с времето се проявява повтарящ се модел. Атаката произтича от едни и същи IP адреси и всички те опитват да получат достъп до една шепа бизнес акаунти в няколко компании, работещи с Office 365.

Това променя статута на аномалиите и те се превръщат в заплаха.

Последвалото разследване и съпътстващият го анализ откриват хилядите неуспешни опити за влизане и окачествяват заплахата като атака с груба сила.

Как се предотвратява такава атака?

Подобна атака е почти невъзможна при двуфакторната верификация. В случая ощетените компании са имали само еднофакторна защита. В стратегически план всеки бизнес, който разчита на облачни услуги, трябва да помисли и за облачна защита.

Прочетете повече: Шестте най-известни киберпробива в облака

Бъдете винаги в крак с новините от света на информационната сигурност – станете наши фенове във Facebook.