MagicWeb Mystery lyfter fram Nobelium Attackers sofistikering

Microsoft har spårat en sofistikerad autentiseringsbypass för Active Directory Federated Services (AD FS), pionjärer av den Ryssland-länkade Nobelium-gruppen. 

Skadlig programvara som möjliggjorde förbikoppling av autentiseringen – som Microsoft kallade MagicWeb – gav Nobelium möjligheten att implantera en bakdörr på den icke namngivna kundens AD FS-server och sedan använda specialgjorda certifikat för att kringgå den normala autentiseringsprocessen. Microsofts incidentsvarare samlade in data om autentiseringsflödet, samlade in de autentiseringscertifikat som angriparen använde och omvända sedan bakdörrskoden.

De åtta utredarna var inte fokuserade "så mycket [på] en whodunit som ett hur-gjort-det", Microsofts Detection and Response Team (DART) anges i dess Incident Response Cyberattack Series-publikation.

"Nationsstatsangripare som Nobelium har till synes obegränsat monetärt och tekniskt stöd från sin sponsor, samt tillgång till unika, moderna hackningstaktiker, -tekniker och -procedurer (TTP)", sa företaget. "Till skillnad från de flesta dåliga skådespelare ändrar Nobelium sitt hantverk på nästan varje maskin de rör vid."

Attacken understryker den ökande sofistikeringen av APT-grupper, som i allt högre grad har riktat in sig på teknikförsörjningskedjor, som SolarWinds brott, och identitetssystem. 

En "mästarklass" i cyberschack

MagicWeb använde mycket privilegierade certifieringar för att flytta i sidled genom nätverket genom att få administrativ åtkomst till ett AD FS-system. AD FS är en identitetshanteringsplattform som erbjuder ett sätt att implementera enkel inloggning (SSO) över lokala och tredjeparts molnsystem. Nobelium-gruppen parade ihop skadlig programvara med ett bakdörrs dynamiskt länkbibliotek (DLL) installerat i Global Assembly Cache, en obskyr del av .NET-infrastrukturen, sa Microsoft.

MagicWeb, som Microsoft beskrev först i augusti 2022, byggdes på tidigare verktyg efter exploatering, såsom FoggyWeb, som kunde stjäla certifikat från AD FS-servrar. Beväpnade med dessa kunde angriparna ta sig djupt in i organisatorisk infrastruktur, exfiltrera data längs vägen, bryta sig in på konton och utge sig för att vara användare.

Ansträngningsnivån som krävs för att avslöja de sofistikerade attackverktygen och -teknikerna visar att angriparnas övre skikt kräver att företag spelar sitt bästa försvar, enligt Microsoft.

"De flesta angripare spelar ett imponerande parti pjäs, men i allt högre grad ser vi avancerade ihållande hotskådespelare som spelar ett schackspel på mästarklassnivå", sa företaget. "Faktum är att Nobelium är fortfarande mycket aktivt och genomför flera kampanjer parallellt med inriktning på statliga organisationer, icke-statliga organisationer (NGOs), mellanstatliga organisationer (IGOs) och tankesmedjor över hela USA, Europa och Centralasien."

Begränsa privilegier för identitetssystem

Företag måste behandla AD FS-system och alla identitetsleverantörer (IdPs) som privilegierade tillgångar i samma skyddsnivå (Tier 0) som domänkontrollanter, uppgav Microsoft i sin incident response advisory. Sådana åtgärder begränsar vem som kan komma åt dessa värdar och vad dessa värdar kan göra på andra system. 

Dessutom kan alla defensiva tekniker som höjer kostnaderna för operationer för cyberattackare hjälpa till att förhindra attacker, uppgav Microsoft. Företag bör använda multifaktorautentisering (MFA) på alla konton i hela organisationen och se till att de övervakar autentiseringsdataflödena för att ha insyn i potentiella misstänkta händelser.

• SEO-drivet innehåll och PR-distribution. Bli förstärkt idag.
• Platoblockchain. Web3 Metaverse Intelligence. Kunskap förstärkt. Tillgång här.
• Källa: https://www.darkreading.com/vulnerabilities-threats/magicweb-mystery-highlights-nobelium-attacker-sophistication