DEV-0343 APT 瞄准美国和以色列的国防技术公司
微软威胁情报中心(MSTIC)和微软数字安全部门(DSU)的研究人员发现了一个恶意活动群体，跟踪为DEV-0343，它的目标是美国和以色列国防技术公司的Office 365租户。
攻击者针对目标组织发起了大规模的密码喷洒攻击，这一恶意活动于2021年7月首次被发现。
“DEV-0343是微软威胁情报中心(MSTIC)于2021年7月下旬首次观察并开始跟踪的一个新的活动群体。MSTIC观察到DEV-0343对250多家Office 365租户进行了大量的密码喷洒攻击，重点是美国和以色列的国防技术公司、波斯湾的入境港口，或在中东有业务存在的全球海运公司。”“虽然只有不到20家目标租户被成功攻击，但DEV-0343在继续改进他们的攻击技术。”微软发布的这篇帖子写道。
微软补充说，对于启用了多因素身份验证(MFA)的Office 365账户的密码喷洒攻击并未生效。
DEV-0343主要针对防务公司，这些公司支持美国、欧盟和以色列 *** 合作伙伴并产出军用雷达、无人机技术、卫星系统和应急响应通信系统。
微软研究人员表示，这一活动与德黑兰的利益一致，而且其ttp与另一个与伊朗有关的攻击者的类似。
“进一步的活动目标包括地理信息系统(GIS)、空间分析、波斯湾的区域入境港口以及几家专注于中东业务的海运和货物运输公司。”报告补充道。
研究人员推测，攻击者的目的是获取商业卫星图像和专有航运计划和日志，这些信息可以让伊朗 *** 补充其正在发展的卫星计划。
DEV-0343背后的威胁行动者利用一系列精心设计的Tor IP地址来混淆他们的基础设施。
“DEV-0343模拟火狐浏览器，使用托管在Tor *** *** 上的IP进行大量的密码喷洒攻击。他们最活跃的时间是周日和周四，伊朗时间早上7:30到晚上8:30 (UTC 04:00:00和17:00:00)，在伊朗时间早上7:30之前和晚上8:30之后活动显著减少。它们通常针对组织内的数十到数百个账户(取决于规模)，并对每个账户进行数十到数千次的枚举。平均而言，针对每个组织的攻击使用了150到1000多个唯一的Tor *** IP地址。”报告继续说道。“DEV-0343执行者通常针对两个Exchange端点——Autodiscover和ActiveSync——作为他们使用的枚举/密码喷洒工具的功能。这方便了DEV-0343验证活跃账户和密码，并进一步完善他们的密码喷洒攻击行为。”
微软已经直接通知了那些被攻击的客户，并向他们提供了他们需要的信息来保护他们的账户。
微软建议企业在日志和 *** 活动中观察是否存在以下迹象，以确定他们的基础设施是否受到了威胁者的攻击:
- 大量来自Tor IP地址的密码攻击流量
- 在密码喷洒活动中模仿FireFox(最常见)或Chrome浏览器
- Exchange ActiveSync(最常见)或自动发现端点的枚举
- 类似于’ o365spray ‘工具的枚举/密码喷洒工具的使用
- 使用自动发现来验证帐户和密码
- 观察到密码喷洒攻击通常在UTC 04:00:00和11:00:00之间达到高峰
消息来源：SecurityAffairs，译者：Zoeppo；
本文由 HackerNews.cc 翻译整理，封面来源于 *** ；
转载请注明“转自 HackerNews.cc ” 并附上原文链接
“DEV-0343 APT 瞄准美国和以色列的国防技术公司” 的相关文章
Java 加密漏洞 PoC 代码公开，受影响的版本需尽快升级
据Security affairs网站消息，4月21日，安全研究人员Khaled Nassar在Github上公开了Java 中新披露的数字签名绕过漏洞的PoC代码，该漏洞被追踪为CVE-2022-21449（CVSS 分数：7.5）。 漏洞的影响范围主要涉及 Java SE 和 Oracle Gr...
Adafruit 披露了前员工 GitHub 储存库中的数据泄露
Hackernews 编译，转载请注明出处： Adafruit 披露了一个数据泄露事件，这个事件是由于一个可公开查看的 GitHub 存储库引起的。 该公司怀疑这可能允许攻击者对2019年或之前对某些用户的信息进行“未经授权的访问”。 Adafruit 总部位于纽约市，自2005年以来一直是开源硬...
惠普解决了 16 个影响笔记本电脑、台式机、PoS 系统的 UEFI 固件缺陷
近期，网络安全公司Binarly研究人员发现16个影响惠普企业设备的统一可扩展固件接口高危漏洞。攻击者可以利用这些漏洞植入固件，使其能够在操作系统更新后继续存在并绕过 UEFI安全启动、Intel Boot Guard和基于虚拟化的安全性。受影响的设备包括多个惠普企业设备，如笔记本电脑、...
开源模块维护者破坏代码，只为抗议乌克兰战争
Hackernews 编译，转载请注明出处： 一个广泛应用于 Windows、 Linux 和 Mac 环境的开源模块的维护者最近破坏了它的功能，以抗议乌克兰的战争，大众再次将注意力集中在与软件代码依赖相关的潜在的严重安全问题上。 Node-ipc 是一个用于进程间通信的 JavaScrip...
7-Zip 被爆零日安全漏洞：可提权执行代码 但用户可简单操作使其失效
文件压缩软件 7-Zip 被爆零日安全漏洞，允许攻击者提权并执行任意代码。目前开发团队并未发布补丁，但普通用户可以通过简单操作来让这个漏洞失效。上周，研究人员 Kağan Çapar 发现并公布了 7-Zip 的一个零日漏洞，该漏洞可以授予权限升级和命令执行。 它被命名为 CVE-2022-290...
微软警告 NOBELIUM 攻击技术愈加泛滥 谨防 HTML 代码夹带恶意软件
早在 5 月，微软就认定有俄罗斯背景的 NOBELIUM 黑客组织要对持续数月的 SolarWinds 网络攻击事件负责，并同企业、政府和执法机构达成了合作，以遏制此类网络攻击的负面影响。早些时候，微软更进一步地剖析了 NOBELIUM 使用的一套更加复杂的恶意软件传送方法。可知其用于造成破坏，并获...
评论列表
发表评论
