Apps do Microsoft 365 continuam sendo os serviços de nuvem mais explorados

Mesmo que essa fragmentação signifique que os invasores exploram constantemente novos aplicativos em nuvem, a Microsoft continua sendo sua arma preferida. No entanto, a plataforma Microsoft 365 não é o único serviço da Microsoft sendo explorado regularmente por agentes de ameaças, apesar dos suspeitos de sempre, incluindo OneDrive, SharePoint e até mesmo o Azure  , classificando-se constantemente no topo deste gráfico indesejado. O GitHub  e  o LinkedIn  também fazem parte da família Microsoft, dois serviços conhecidos e confiáveis ​​por  milhões  de usuários e organizações  em todo o mundo  e que rapidamente ganharam popularidade entre os invasores. Caso em questão, o LinkedIn é agora a  marca mais personificada  para ataques de phishing. 

De qualquer forma, mesmo com muitas opções para os invasores dentro e fora do ecossistema de aplicativos da Microsoft, o Microsoft 365 ainda fica com a maior parte. Os invasores podem optar por comprometer uma conta legítima e abusar de vários serviços para lançar ataques de um local confiável, visando essa organização ou até mesmo um objetivo externo. Da mesma forma, eles podem criar suas próprias contas e usar aplicativos internos para fornecer malware, hospedar páginas de phishing, documentos de isca ou até mesmo comandar e controlar a infraestrutura.

Em ambos os casos, os invasores aumentam suas chances de contornar os gateways de segurança (isso explica por que as contas na nuvem são um  alvo crescente para agentes de ameaças oportunistas ou patrocinados pelo estado ) e simplificam a preparação e a execução de seu ataque, visto que o ambiente Microsoft 365 oferece tantos ferramentas prontas para uso. A mesma lógica se aplica a outras plataformas, como o Google Workspace.

Aplicações menos comuns ainda são exploradas

Uma das consequências da ampla disponibilidade de ferramentas dentro de uma conta de nuvem comprometida é que mesmo os aplicativos menos usados ​​são frequentemente abusados. Um exemplo é o Microsoft Sway, que pode ser  armado  para fornecer malware e páginas de phishing. O Sway permite a combinação de texto e mídia para criar um site apresentável, o que significa que os invasores podem liberar sua criatividade para criar páginas de phishing profissionais, de aparência realista e mais legítimas. Eles podem parecer muito mais convincentes do que aqueles criados com ferramentas imediatamente disponíveis, como Microsoft Forms ou Google Forms. O Sway também permite que os usuários incorporem documentos nas páginas, facilitando a entrega de malware.

A exploração do Sway não é uma novidade. No primeiro trimestre de 2020, uma campanha massiva chamada  PerSwaysion  foi descoberta, ativa desde meados de 2019. Ele teve como alvo 156 funcionários de alto escalão em pequenas e médias empresas de serviços financeiros, escritórios de advocacia e grupos imobiliários e foi caracterizado pelo abuso do Microsoft Sway (assim como do SharePoint e do OneNote) para redirecionar as vítimas para sites de phishing reais.

Várias maneiras de explorar praticamente qualquer serviço

Mesmo os aplicativos mais usados, como o OneDrive, podem ser explorados de forma mais sutil por agentes de ameaças patrocinados pelo estado e oportunistas. Em janeiro de 2022, um novo malware de espionagem cibernética foi descoberto chamado  Graphite  e atribuído ao  APT28 , um grupo de ameaças com ligação com a Direção Geral de Inteligência (GRU) do Estado-Maior da Rússia. Este malware utiliza o OneDrive como um servidor de comando e controle por meio da  API do Microsoft Graph  e parece ser particularmente lucrativo para os invasores, uma vez que uma  nova campanha pelo mesmo ator de ameaça com o mesmo malware foi descoberto recentemente. Esta nova campanha é particularmente notável, não só porque o OneDrive é abusado tanto para entrega e distribuição como para comando e controlo (mais uma prova da flexibilidade do OneDrive), mas também porque a sua instalação é desencadeada quando o utilizador inicia um documento armado em modo de apresentação e move o mouse.

Proteção contra serviços de nuvem explorados

Existem algumas etapas que as organizações podem seguir para mitigar os riscos de aplicativos em nuvem que incorporam malware ou páginas de phishing:

• Em primeiro lugar, eduque os usuários para reconhecer instâncias de nuvem desonestas armadas para fornecer conteúdo malicioso. Sempre há detalhes mal colocados (como o domínio ou algumas falhas de layout no conteúdo da página) que podem soar alarmes.
• Em segundo lugar, certifique-se de que suas próprias contas na nuvem não sejam comprometidas. Implemente a autenticação multifator e uma solução de gerenciamento de postura de segurança, que pode reduzir o risco de configuração incorreta explorável pelos invasores.
• Em terceiro lugar, implemente um Cloud Access Security Broker (CASB) para detectar o comprometimento inicial da conta e atividades anômalas pós-exploração.
• Por fim, reforce a segurança na borda de acesso em termos de controle de acesso adaptativo, DLP e proteção contra ameaças, aplicando políticas mais restritivas para aplicativos não gerenciados ou instâncias não gerenciadas de aplicativos corporativos.

Como os aplicativos em nuvem são cada vez mais o vetor de ataque mais atraente para os agentes de ameaças, é essencial que as empresas obtenham maior visibilidade sobre sua infraestrutura de nuvem para identificar e mitigar ameaças antes que danos graves sejam infligidos. 

Fonte: Infosecurity Magazine