Amazon mengganggu peretas APT29 Rusia yang menargetkan Microsoft 365

Para peneliti telah mengganggu operasi yang dikaitkan dengan kelompok ancaman yang disponsori negara Rusia Midnight Blizzard, yang mencari akses ke akun dan data Microsoft 365.

Juga dikenal sebagai APT29, grup peretas mengkompromikan situs web dalam kampanye lubang air untuk mengarahkan kembali target yang dipilih “ke infrastruktur berbahaya yang dirancang untuk menipu pengguna agar mengotorisasi perangkat yang dikendalikan oleh penyerang melalui aliran otentikasi kode perangkat Microsoft.”

Aktor Ancaman Blizzard Midnight telah dikaitkan dengan Layanan Intelijen Asing Rusia (SVR) dan terkenal dengan metode phishing pintar yang baru-baru ini terkena dampak Kedutaan Besar Eropa, Hewlett Packard EnterpriseDan TeamViewer.

Seleksi target acak

Tim Ancaman Intelijen Amazon menemukan nama domain yang digunakan dalam kampanye Watering Hole setelah membuat analitik untuk infrastruktur APT29.

Investigasi mengungkapkan bahwa para peretas telah membahayakan beberapa situs web yang sah dan mengabarkan kode berbahaya menggunakan pengkodean base64.

Dengan menggunakan pengacakan, APT29 mengarahkan sekitar 10% dari pengunjung situs web yang dikompromikan ke domain yang meniru halaman verifikasi cloudflare, seperti findcloudflare[.]com atau Cloudflare[.]RedirectPartners[.]com.

Sebagai Amazon menjelaskan dalam sebuah laporan Pada tindakan baru-baru ini, para aktor ancaman menggunakan sistem berbasis cookie untuk mencegah pengguna yang sama dialihkan beberapa kali, mengurangi kecurigaan.

Para korban yang mendarat di halaman Cloudflare palsu dipandu ke aliran otentikasi kode perangkat Microsoft berbahaya, dalam upaya untuk menipu mereka menjadi otorisasi perangkat yang dikendalikan penyerang.

Amazon mencatat bahwa begitu kampanye ditemukan, para peneliti mengisolasi contoh EC2 yang digunakan aktor ancaman, bermitra dengan Cloudflare dan Microsoft untuk mengganggu domain yang diidentifikasi.

Para peneliti mengamati bahwa APT29 mencoba memindahkan infrastrukturnya ke penyedia cloud lain dan mendaftarkan nama domain baru (misalnya Cloudflare[.]RedirectPartners[.]com).

CJ Moses, kepala petugas keamanan informasi Amazon, mengatakan bahwa para peneliti terus melacak gerakan aktor ancaman dan mengganggu upaya tersebut.

Amazon menggarisbawahi bahwa kampanye terbaru ini mencerminkan evolusi untuk APT29 untuk tujuan yang sama dalam mengumpulkan kredensial dan kecerdasan.

Namun, ada “penyempurnaan pada pendekatan teknis mereka,” yang tidak lagi bergantung pada domain yang menyamar sebagai AWS atau upaya rekayasa sosial untuk memotong otentikasi multi-faktor (MFA) dengan menipu target untuk membuat Kata sandi khusus aplikasi.

Pengguna disarankan untuk memverifikasi permintaan otorisasi perangkat, mengaktifkan otentikasi multi-faktor (MFA), dan menghindari menjalankan perintah pada sistem mereka yang disalin dari halaman web.

Administrator harus mempertimbangkan untuk menonaktifkan cacat otorisasi perangkat yang tidak perlu jika memungkinkan, menegakkan kebijakan akses bersyarat, dan memantau erat untuk acara otentikasi yang mencurigakan.

Amazon menekankan bahwa kampanye APT29 ini tidak membahayakan infrastrukturnya atau berdampak pada layanannya.