攻撃者がMicrosoft Entra IDを悪用、MSPの下流顧客を標的に

概要:

• Todylが公表した最近のレポートによると、ある単独のハッカーが、盗まれたもののまだ有効なMicrosoft Entra IDの認証情報を使い、複数のマネージドサービスプロバイダー（MSP）のMicrosoft 365およびAzure環境にサインインしていました。研究者らはこの攻撃キャンペーンを調査しています。Todylのレポートを参照してください。
• このハッカーは、約18組織の45件のアプリ登録を標的にし、少なくとも33件で認証に成功しました。さらに27組織にアクセスしており、その中にはMSPの下流の顧客も含まれていました。業種は、エネルギー、政府、食品・農業、運輸、建設など多岐にわたります。 
• レポートによると、ハッカーはその後、25のテナントで検索を実行し、合計81件のファイルをダウンロードしたほか、約2,300件のメールボックス項目にアクセスしました。Todylの研究者らは、ハッキングの試みは現在も続いていると述べています。

詳細:

この攻撃は、多くの点で自己増殖型のワームのような動きを見せています。研究者らは、1人の攻撃者が仮想専用サーバー（VPS）を使い、11月1日より前に集められた盗難認証情報の山を次々に試し、機械的な速度でMSPを突破していったとみています。 

レポートによると、サインインの約95%はスクリプト化されたクライアントで実行されていました。研究者らは、10秒間に24回のサインインが立て続けに行われた後、11秒間隔の固定リトライが繰り返される様子を確認しています。 

Huntressの研究者らは、この活動をポーランドにあるホスティング事業者のIPアドレスまで追跡しました。 

攻撃の間隔や速度は、AI支援ツールの利用と一致します。ただし研究者らは、特定のエージェント型ワークフローとの関連を突き止めるには至っていません。また、今回の攻撃が、ConnectWise Cloud Backupに関連する最近のキャンペーンと直接結び付く証拠はないとも説明しています。

ConnectWiseのキャンペーンに関与した攻撃者は、「Artex」と呼ばれるエージェント型ツールを悪用していました。このツールは通常、ペネトレーションテストに使われるもので、日本企業や韓国の銀行を狙うなど、世界各地で発生した一連の高度な攻撃との関連が指摘されています。