Im November starteten russische Hacker Attacken auf Microsoft. Die Angreifer verschafften sich Zugang zu E-Mails ranghoher Manager und konnten Dokumente aus Anhängen herunterladen. Dahinter soll die Gruppe APT29 stecken, auch bekannt als Midnight Blizzard, Cozy Bear und ehemals Nobilium. Kurz nachdem Microsoft die Attacke publik machte, gab auch HPE bekannt, von denselben Hackern angegriffen worden zu sein. Diese hätten sich Zugang zur Office-365-Umgebung des Unternehmens verschafft. Auch dort wurde auf Postfächer zugegriffen und Daten exfiltriert.

In einem Blogbeitrag schildert Microsofts Threat-Intelligence-Team jetzt den Ablauf des Angriffs: "Midnight Blizzard nutzte Passwort-Spray-Angriffe, die erfolgreich ein altes, nicht produktives Testmandanten-Konto kompromittiert haben, für das die Multifaktor-Authentifizierung (MFA) nicht aktiviert war." Bei einem Passwort-Spray-Angriff versuche der Angreifer, sich mit einer kleinen Teilmenge der beliebtesten oder wahrscheinlichsten Passwörter bei einer grossen Anzahl von Konten anzumelden. Dass diese Methode Erfolg hatte, deutet darauf hin, dass ein oder mehrere schwache Passwörter in Gebrauch waren.

Midnight Blizzard habe seine Passwort-Spray-Angriffe auf eine begrenzte Anzahl von Konten ausgerichtet und eine geringe Anzahl von Versuchen gestartet, um einer Erkennung zu entgehen und Kontosperrungen basierend auf der Anzahl der Fehler zu vermeiden. "Darüber hinaus verringerte der Bedrohungsakteur die Wahrscheinlichkeit einer Entdeckung weiter, indem er diese Angriffe von einer verteilten privaten Proxy-Infrastruktur aus startete", so Microsoft. Diese Umgehungstechniken hätten dazu geführt, dass die Täter ihre Aktivitäten verschleiern und den Angriff über einen längeren Zeitraum hinweg fortsetzen konnten, bis sie erfolgreich waren.

Nach erfolgreichem Zugriff auf das Testkonto kompromittierte Midnight Blizzard eine alte OAuth-Testanwendung, die mit Zugriffsrechten auf die Unternehmensumgebung ausgestattet war. "Midnight Blizzard nutzte diese OAuth-Anwendungen, um sich bei Microsoft Exchange Online zu authentifizieren und die E-Mail-Konten von Microsoft-Mitarbeitenden anzugreifen."

Midnight Blizzard ist keine neue Gruppierung und seit längerem aktiv. Im Blogpost warnt Microsoft denn auch, dass in letzter Zeit weitere Organisationen in deren Visier geraten sind. "Wir haben im Rahmen unserer üblichen Benachrichtigungsprozesse damit begonnen, diese Organisationen zu informieren." Ausserdem finden sich im Beitrag weitere Analysen zum Vorgehen der Hacker und entsprechende Empfehlungen.

Noch bevor Microsoft die Details zum Hack publizierte, geriet der Konzern in die Kritik. "Dies ist ein weiterer völlig vermeidbarer Hack, der durch die Nachlässigkeit von Microsoft verursacht wurde", sagte der US-Senator und Tech-Experte Ron Wyden gegenüber 'Cyberscoop'. "Es ist unentschuldbar, dass Microsoft immer noch keine Multifaktor-Authentifizierung verlangt, die diesen jüngsten Angriff verhindert hätte."