首页 ›资讯› 安全 › 查看内容

FireEye公布SolarWinds黑客技术细节，提供免费检测工具

2021-1-22 12:55 |来自: 互联网 2799 0

摘要: 在本周三发布的最新白皮书中，FireEye警告说，SolarWinds供应链攻击中，黑客（美国情报服务和计算机安全机构认定是俄罗斯国家黑客组织）专门针对两类人：能够访问高级信息的人和系统管理员。　　该报告介绍了黑客使 ...

关键词： 应用程序账户管理员身份 FireEye 后门用户令牌 Microsoft 服务

在本周三发布的最新白皮书中，FireEye警告说，SolarWinds供应链攻击中，黑客（美国情报服务和计算机安全机构认定是俄罗斯国家黑客组织）专门针对两类人：能够访问高级信息的人和系统管理员。

　　该报告介绍了黑客使用的四种“主要技术”：　　

　　窃取Active Directory联合身份验证服务（AD FS）令牌签名证书，并使用它为任意用户伪造令牌，从而绕过各种身份验证要求。　　
　　在Azure AD中修改或添加受信任的域，以添加由攻击者控制的新的联合身份提供程序（IdP）在网络上创建后门。　　
　　入侵与Microsoft 365同步的高特权本地用户账户（例如，全局管理员或应用程序管理员）。　　
　　通过添加新的应用程序或服务主体账户来对现有的Microsoft 365应用程序进行后门操作，以便使用分配给该应用程序的合法权限，例如能够读取电子邮件，以任意用户身份发送电子邮件、访问用户日历等。

　　至于缓解措施，FireEye广泛建议，审查所有系统管理员账户，特别是查看是否有任何“已配置或添加到特定服务主体的账户”并删除它们，然后搜索可疑的应用程序凭据并将其删除。该公司还在GitHub上发布了一个名为“Azure AD调查器”的免费检测工具（https://github.com/fireeye/Mandiant-Azure-AD-Investigator），该工具能够检测企业网络是否被SolarWinds Orion的后门软件入侵。

　　参考资料

　　Remediation and Hardening Strategies for Microsoft 365 to Defend Against UNC2452：

　　https://www.fireeye.com/content/dam/collateral/en/wp-m-unc2452.pdf

本文出处： https://www.163.com/dy/article/G0S1DGAK0511ALHJ.html

声明：文章版权归原作者所有部分文章转自互联网如有侵权请联系 [邮箱地址] 删除