研究人员发现了一个名字DEV-0343该网络组织攻击了美国和以色列的国防技术公司、波斯湾的入境港口和与中东相关的全球海上运输公司。威胁组织的攻击主要是接管微软Office 365账户。
微软在2021年7月底开始追踪这些攻击活动，并在发布的一份警报中详细介绍了这些攻击手法，并补充说，该罪犯似乎一直在从事网络间谍活动，同时该组织与伊朗有联系，并且网络攻击者正在对Office 365账户大面积喷密码攻击。
密码喷射攻击是一个攻击大量用户名和一系列不同密码的在线账户的过程。攻击者希望找到正确的密码，并获得访问受密码保护账户的权限。微软表示，在这种情况下，攻击者通常攻击每个目标组织中的数十到数百个账户，并尝试数千个凭证组合。
据该公司称，到目前为止，该活动已经攻击了大约250个使用微软云办公套件的组织，其中近20个受到了影响。然而，计算巨头警告说，DEV-0343继续完善他们的攻击技术。
据分析，目前发现的攻击源使用的是一个Firefox或Chrome并在浏览器Tor代理网络使用轮换IP攻击地址。微软表示，平均而言，每次攻击将使用150到1000个独立的IP攻击者这样做是为了混淆攻击的来源，增加攻击追溯的难度。
研究人员说，密码爆破攻击每次都会改变IP地址正成为威胁集团中非常常见的攻击技术。通常，威胁集团会随机使用其用户代理和IP攻击地址。因为现在提供了大量的住宅IP该技术很容易实现地址服务。这些服务通常通过浏览器插件启用。
使用此代理地址使开发指标或IoCs但微软在攻击中观察到的攻击模式也包括：
1、来自Tor IP地址的大量入站流量用于密码喷射攻击活动
2、在密码喷涂活动中模拟FireFox(最常见)或Chrome浏览器
3、枚举Exchange ActiveSync(最常见)或Autodiscover端点
4、使用类似于"o365spray "枚举/密码喷射工具
5、使用Autodiscover验证帐户和密码
攻击者通常针对两个Exchange端点--Autodiscover和ActiveSync他们的枚举/密码喷洒攻击。据微软介绍，这使得DEV-0343能够轻松验证活动账户和密码，进一步完善其密码喷射攻击活动。
据说与伊朗有关
该集团使用 "DEV "这个名字只是微软临时指定的名字，它代表了一个不断增长的攻击群体。在对攻击者有了更多的了解后，微软将给它一个永久的名字。
但目前，有证据表明攻击者来自伊朗。例如，微软表示，将专门制造军用雷达、无人机技术、卫星系统、应急通信系统、地理信息系统(GIS)攻击空间分析公司、港口和运输公司。微软表示，这与伊朗之前对航运和海上目标的攻击基本一致。
该公司指出，根据攻击模式分析，该威胁集团可能一直支持伊朗伊斯兰共和国的国家利益，该模式与伊朗的另一名攻击者非常相似。
此外，该组织在伊朗当地时间周日至周四上午7:30至晚上8:30之间最为活跃，微软在上午7:30至下午2:30之间观察到密码喷射攻击的高峰。
如何防止office 365被攻击
为了防止密码喷射攻击，微软建议用户首先使用多因素认证。或者使用其他防御策略来保护账户，如Microsoft Authenticator这种无密码解决方案；审查Exchange Online访问策略；阻止ActiveSync客户绕过条件访问策略；并尽可能阻止匿名服务的所有流量。
本文翻译自：https://threatpost.com/military-defense-spy-campaign/175425/如果转载，请注明原始地址。