微软报告发现了一个针对美国和以色列国防技术公司的恶意活动组织。Office 365用户。
10月11日，微软威胁情报中心(MSTIC)微软数字安全部(DSU)研究人员发现了一个恶意活动集群，被追踪为DEV-0343，其目标是美国和以色列国防技术公司Office 365用户。
微软表示，不到20个Office 365用户被入侵
研究人员称DEV-0343该团伙主要针对美国、欧盟和以色列政府合作的国防公司，如生产军用雷达、无人机技术、卫生系统和应急通信系统的国防公司。
2021年7月下旬，微软威胁情报中心首次观察到DEV-0343并开始跟踪。DEV-0343对250多个Office 365用户主要针对美国和以色列的国防技术公司、波斯湾港口或在中东有业务的全球海运和货运公司进行大规模密码喷射。
“只有不到20个Office 365用户被入侵，但是DEV-0343为了提高攻击完成度，技术仍在不断改进。”微软表示，它使用了多因素认证(MFA)的Office 365账户未被密码喷射攻击。
微软研究人员表示，该团伙的活动符合伊朗的利益TTP类似于另一个与伊朗相关的网络组织活动。
研究人员推测，攻击者的目的是获得商业卫星图像
研究人员推测，攻击者目的是获得商业卫星图像和航运计划日志。DEV-0343攻击者还使用了一系列精心设计的攻击者Tor IP混淆其攻击行为和基础设施的地址。
“DEV-0343模拟火狐浏览器，使用托管Tor代理网络IP在伊朗时间周日和周四上午7:30至晚上8:00进行大规模密码喷射。30(UTC 3.5)它们之间最活跃。它们通常针对组织中的数十到数百个账户，并列出每个账户数十到数千次。平均来说，每个组织的攻击使用了150到1000多个Tor代理IP地址。"
报告称，“DEV-0343攻击者通常针对两个Exchange端点：Autodiscover和ActiveSync，将这两个端点作为枚举和密码喷涂的工具，验证活跃账户和密码，进一步完善密码喷涂攻击。”
微软表示，已通知被针对或受到攻击的用户，并为他们提供保护账户所需的信息。
为确定其基础设施是否受到攻击，微软建议企业自查日志中是否有以下活动：
- 来自Tor IP密码攻击流量地址
- 在密码喷射活动中模拟FireFox(最常见)或Chrome浏览器
- 枚举Exchange ActiveSync(最常见)或Autodiscover端点
- 使用类似 "o365spray "工具的枚举/密码喷射工具
- 使用Autodiscover验证帐户和密码
- 观察到的密码喷涂活动通常是在UTC 4:00:00和11:00:00达到峰峰峰
以下是微软分享的缓解DEV-0343攻击防御措施：
- 采用多因素认证，减少凭证泄露。
- Office 365用户，请参考多因素认证支持。
- 请参考如何使用两个步骤来验证消费者和个人电子邮件账户。
- 微软鼓励所有客户下载并使用无密码解决方案。
- 建议的审查和执行Exchange Online访问策略。
- 阻止ActiveSync绕过有条件的访问策略。
- 尽量阻止匿名服务的所有流量。
参考链接：https://securityaffairs.co/wordpress/123219/apt/dev-0343-apt-campaing.html