Gestohlene Microsoft Azure-Schlüssel verleihen Hackern "Superkraft"

Der Sicherheitsvorfall, der weltweit Exchange Online- und Outlook.com-Konten kompromittierte, scheint viel weitreichender zu sein, als Microsoft das bisher kommunizierte. Laut einem Experten gab es weitreichenden Zugang zu allen Microsoft Cloud-Diensten.

Diebstahl von privaten Verschlüsselungs-Keys

Das meldet das Online-Magazin Bleeping Computer. Es geht dabei um den Diebstahl von privaten Verschlüsselungs-Keys, die in die Hände der chinesischen Hacker der Gruppe Storm-0558 gelangt waren. Während Microsoft klarstellte, dass man noch immer nicht weiß, wie die Hacker Azure AD-Signierschlüssel stehlen konnten, hat der Sicherheitsforscher Shir Tamari zumindest wieder Auswirkungen des Angriffs festgestellt.

Laut Tamari seien allen Azure AD-Anwendungen gefährdet, die mit Microsofts OpenID v2.0 arbeiten. Das sei darauf zurückzuführen, dass der gestohlene Schlüssel jedes OpenID v2.0-Zugangs-Token für persönliche Konten (z. B. Xbox, Skype) und mandantenfähige AAD-Anwendungen signieren kann. Im Grunde seien jetzt alle Anwendungen gefährdet, die die Funktion "Anmeldung mit Microsoft" zulassen, so Tamari. Infografik: Millionenschäden durch Datenlecks

Superkraft für Hacker

"Ein Angreifer mit einem AAD-Signaturschlüssel ist der mächtigste Angreifer, den man sich vorstellen kann, denn er kann auf fast jede App zugreifen - als beliebiger Benutzer. Das ist die ultimative 'Shape Shifter'-Superkraft der Cyber-Intelligenz." Die Hackergruppe dürfte damit also weitreichender Zugriff erhalten haben als nur zu Exchange Online- und Outlook.com-Konten.

Der Zugriff geschah unter Ausnutzung einer inzwischen gepatchten Zero-Day-Validierungslücke in der GetAccessTokenForResourceAPI, die es den Angreifern ermöglichte, signierte Zugriffstoken zu fälschen und sich als Konten innerhalb der betroffenen Organisationen auszugeben. Die Hackergruppe Storm-0558 hatte so unter anderem Regierungsbehörden in den USA und Westeuropa, darunter das Außen- und das Handelsministerium der USA, angegriffen und sich Zugang verschafft.

Microsoft sperrte nach dem Bekanntwerden des Eindringens die Signierschlüssel für alle betroffenen Azure-Kunden Anfang Juli und erklärte, dass die Token-Replay-Infrastruktur der Angreifer abgeschaltet wurde. Man hat die Hacker so also aussperren können - weiß aber noch immer nicht, welche Ausmaße der unbefugte Zugriff gehabt haben könnte.


Siehe auch: