【安全圈】黑客利用微软Office 365某功能,对企业发动勒索攻击

admin 2022年6月18日23:10:10评论59 views字数 1143阅读3分48秒阅读模式
【安全圈】黑客利用微软Office 365某功能,对企业发动勒索攻击

关键词

微软、漏洞


安全研究人员警告说,威胁者可能会劫持 Office 365 帐户,以加密公司存储在 SharePoint 和 OneDrive 服务中的文件。

【安全圈】黑客利用微软Office 365某功能,对企业发动勒索攻击


如果备份不可用,针对这些服务上的文件的勒索软件攻击可能会产生严重后果,导致所有者和工作组无法访问重要数据。


近期,网络安全公司Proofpoint的研究人员在一份报告中指出,勒索攻击的成功主因在于滥用“自动保存”功能,该功能会在用户进行编辑时创建旧文件版本的云备份。威胁行为者要加密SharePoint和OneDrive文件的前提条件是破坏Office 365 帐户,这很容易通过网络钓鱼或恶意OAuth应用程序完成。劫持帐户后,攻击者可以使用Microsoft API和PowerShell脚本自动对大型文档列表执行恶意操作。要更快地完成文件锁定并使恢复变得更困难,威胁行为者会通过减少版本编号限制并加密所有超过该限制的文件。此任务不需要管理权限,可以从任何被劫持的帐户完成。研究人员举例说,对手可以将文件版本数减少到“1”,并对数据进行两次加密。由于文件版本限制设置为“1”,当攻击者对文件进行两次加密或编辑时,原始文档将无法通过OneDrive获得,也无法恢复。


另一种方法是使用自动脚本编辑文件501次,这超过了OneDrive存储文件版本的最大500次限制。虽然这种方法更张扬,可能会触发一些警报,但它仍然是一种有效的方法。文档加密完成后,攻击者就可以向受害者索取赎金,以换取解锁文件。在加密之前先窃取原始文件,从而在泄露数据的威胁下给受害者更大的压力,这也是可行的,而且可能被证明是有效的,特别是在有备份的情况下。

【安全圈】黑客利用微软Office 365某功能,对企业发动勒索攻击


虽然Proofpoint提醒微软版本编号设置可能会被滥用,但微软坚称这种配置能力是其预期的功能。微软说,如发生类似上述攻击场景的意外数据丢失情况下,微软的support agent可以在事故发生14天后帮助恢复数据。但根据Proofpoint的报告,他们尝试使用support agent恢复文件,但失败了。

对于可能成为这些云攻击目标的企业,最佳安全实践包括:
  • 使用多因素身份验证
  • 保持定期备份
  • 寻找恶意OAuth应用程序并撤销令牌,以及在事件响应列表中添加“立即增加可恢复版本”。


   END  

阅读推荐

【安全圈】黑客利用微软Office 365某功能,对企业发动勒索攻击【安全圈】昨日米家APP崩溃,大量智能设备失控沦为“智障”

【安全圈】黑客利用微软Office 365某功能,对企业发动勒索攻击【安全圈】Linux下查找并删除挖矿程序实例

【安全圈】黑客利用微软Office 365某功能,对企业发动勒索攻击【安全圈】微软发布6月份安全更新,修复56个安全漏洞

【安全圈】黑客利用微软Office 365某功能,对企业发动勒索攻击【安全圈】新的安卓恶意软件“MaliBot“能够窃取财务和个人信息


【安全圈】黑客利用微软Office 365某功能,对企业发动勒索攻击
【安全圈】黑客利用微软Office 365某功能,对企业发动勒索攻击

安全圈

【安全圈】黑客利用微软Office 365某功能,对企业发动勒索攻击

←扫码关注我们

网罗圈内热点 专注网络安全

实时资讯一手掌握!

【安全圈】黑客利用微软Office 365某功能,对企业发动勒索攻击

好看你就分享 有用就点个赞

支持「安全圈」就点个三连吧!

【安全圈】黑客利用微软Office 365某功能,对企业发动勒索攻击



原文始发于微信公众号(安全圈):【安全圈】黑客利用微软Office 365某功能,对企业发动勒索攻击

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年6月18日23:10:10
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   【安全圈】黑客利用微软Office 365某功能,对企业发动勒索攻击http://cn-sec.com/archives/1127558.html

发表评论

匿名网友 填写信息