0xNews - MS Azure 클라우드 사용자 대상 공격 경고

미국 보안회사 클라우드 스트라이크 Crowdstrike 발표

솔라윈드 SolarWinds 를 통한 스파이 활동 조사 중 공격 관련 로그 발견

공격 시도는 12월 15일 MS 위협 인텔리전스 센터 Microsoft's Threat Intelligence Center 에 보고

제 3자 리셀러의 MS 애저 Azure 계정이 몇 달전 17시간 동안 MS 클라우드 API 에 비정상적인 호출을 하고 있음을 확인

해당 애저 계정은 클라우드 스트라이크를 포함한 애저 고객에 대한 MS Office 도 처리

이번 공격은 이메일을 읽으려는 시도 확인

MS 오피스 365 이메일 서비스를 사용하지 않기 때문에 결과적으로 실패

솔라윈드 공급망 공격의 여파로 솔라윈드 Orion 네트워크 모니터링 소프트웨어의 악성 업데이트를 통해 백도어 Sunburst 배포

공개 이후 MS, Cisco, VMware, Intel, NVIDIA, US 정부 등 해당 Orion 설치된 것을 확인

별도의 해킹 그룹은 Orion 소프트웨어를 악용

Supernova 라는 별도의 백도어를 설치했다는 증거 발견된 일주일 후 관련 정보 취합 후 공개

러시아 정부 지원을 받은 해커가 클라우드 액세스 서비스를 관리하는 MS 러셀러를 활용하는 최소 한 곳 이상의 민간기업에 대한 이메일을 탈취

러시아 정부 해커가 MS 클라우드 고객 정보를 탈취했다고 주장하는 워싱턴 포스트의 새로운 보고서와 관련 내용이 일치

크라우드스트라이크는 기업과 조직에서 MS 애저 AD 혹은 Office 365 환경에 대한 감사와 환경 검사를 무료로 해주는 CRT CrowdStrike Reporting Tool for Azure 출시

CRT 의 github 링크

미국 CISA Cybersecurity Infrastructure and Security Agency 는 애저 혹은 Office 365 환경에서 손상 가능성이 있는 계정과 애플리케이션을 감지하는데 도움이 되는 오픈소스 유틸리티를 별도로 개발

유사한 오픈 소스 유틸리티 sparrow github 링크

이 도구는 사고 대응자가 사용하기 위한 것이며 최근 여러 부문에서 볼 수 있는 신원과 인증 기반 공격에 고유한 활동에만 초점을 맞추고 있음

솔라윈드는 문제가 된 보안 권고 업데이트

Sunburst 와 Supernova 취약성과 관련된 위헙을 완화하기 위해 Orion Platform 소프트웨어를 2020.2.1 HF 2 혹은 2019.4 HF 6 버전으로 업데이트할 것을 권고

openLab