Хакерска група, известна като UNK_SneakyStrike, използва платформа с отворен код за тестове на проникване, наречена TeamFiltration, за да атакува профилите на над 80 000 потребители на Microsoft Entra ID (познати също като Azure AD) по целия свят.
Според специалистите по киберсигурност на Proofpoint, атаките са стартирали още през декември 2024 г. и досега са засегнали множество организации — главно средни и големи компании. В най-активната точка на атаките, на 8 януари, са били засегнати около 16 500 профила наведнъж.
Какво представлява TeamFiltration?
TeamFiltration представлява платформа с всички необходими функции за масово профилиране, проникване и компрометиране на акаунти в Microsoft Entra ID. Рамката позволява на нападателите да събират информация за потребителите, да изпробват пароли (spraying) и да създават задни врати с високо ниво на точност.
Proofpoint потвърди, че при наблюдаваните атаки групата UNK_SneakyStrike използва уникалната платформа, за да проникне в профилите на всички потребители при по-малките организации, а при по-големите – да концентрира усилията си върху ограничен набор сметки.
Как беше разкрита атаката?
Необичайно поведение като:
✅ Редки User-Agent стойности, уникални за TeamFiltration
✅ Вграден стар image на FOCI проекта на TrustedSec
✅ Твърдо зададени (hardcoded) OAuth Client IDs
✅ Аномалии при достъпа до приложения, с които профилите изобщо не работят
… всичко това подсказа на специалистите, че зад атаките стои именно TeamFiltration.
Какво правят нападателите?
Групата UNK_SneakyStrike използва служебен профил с лицензиран Microsoft 365 Business Basic, за да премине легитимно всички контроли на Microsoft Teams API и да събере информация за потребителите. Чрез AWS сървъри, разположени в различни региони — главно САЩ (42%), Ирландия (11%) и Великобритания (8%) — нападателите стартират концентрирани серии на атаки с интервали на покой, с цел да избегнат засичането.
Рекомендации на специалистите
Proofpoint съветва всички организации да:
✅ Въведат многофакторно удостоверяване (MFA) за всички профили.
✅ Зададат правила с Conditional Access, с които да контролират кой и при какви условия може да влиза.
✅ Реализират OAuth 2.0 механизми за по-надеждна защита на приложната среда.
✅ Включат правила за засичане на уникалната TeamFiltration User-Agent стойност.
✅ Блокират всички IP адреси, включени в публикувания списък с IOC (индикатори на компрометиране).
