Microsoft rätselt, wie Hacker Azure AD-Signierschlüssel stehlen konnten

Vor kurzem wurde bekannt, dass chinesische Hacker sich mithilfe von echten Azure AD-Signierschlüsseln Zugriff zu den E-Mail-Servern verschiedener amerikanischer Behörden verschafft hatten. Microsoft rätselt aber noch immer, wie das gelingen konnte.

Sicherheitslücke "unauffindbar"

Laut einem neuen Bericht des Online-Magazins Bleeping Computer hat Microsoft auch Tage nach der Entdeckung des Zugriffs noch immer keinen Hinweis auf die Sicherheitslücke gefunden, die den Hackern Zugang zu den Servern verschaffte.

Klar ist, dass chinesische Hacker einen Signierschlüssel für inaktive Microsoft-Konten (MSA) gestohlen haben. Diese wurden dann verwendet, um in die Exchange Online- und Azure AD-Konten von rund zwei Dutzend Organisationen, einschließlich Regierungsbehörden, einzudringen. Infografik: Millionenschäden durch Datenlecks "Die Methode, mit der der Akteur den Schlüssel erlangt hat, ist Gegenstand laufender Ermittlungen", räumte Microsoft in einem neuen Advisory ein. Der Vorfall war dabei vermutlich über einen Monat lang unentdeckt geblieben - daher ist das Ausmaß möglicher Manipulationen und Datendiebstahl auch noch nicht bekannt.

Microsoft begann bereits Mitte Juni mit der Untersuchung der Angriffe und fand heraus, dass die chinesische Cyberspionage-Gruppe Storm-0558 b dahinter steckt. Die Angreifer nutzten dazu gestohlene Azure AD-Signaturschlüssel, um neue Authentifizierungstoken zu erstellen, mit denen sie einfachen Zugriff erhielten. Einmal mit einem "legitimen" Zugang ausgestattet, konnten die Hacker dann E-Mails und Anhänge stehlen.

Hacker ausgesperrt

Microsoft sperrte nach dem Bekanntwerden des Eindringens die Signierschlüssel für alle betroffenen Azure-Kunden Anfang Juli und erklärte, dass die Token-Replay-Infrastruktur der Angreifer abgeschaltet wurde. Man hat die Hacker so also aussperren können.

"Seitdem Microsoft den von einem Akteur erworbenen MSA-Schlüssel für ungültig erklärt hat, wurden keine schlüsselbezogenen Aktivitäten mehr beobachtet", erklärte das Microsoft-Sicherheits-Team. Weitere Informationen zu dem Vorfall stehen allerdings weiterhin nicht zur Verfügung - es bleibt daher auch noch unklar, inwieweit es Schwachstellen in Azure und Exchange Online gibt, die noch geschlossen werden müssen.

Siehe auch: