Storm-0558

تُتعقّب أيضاً باسم Antique Typhoon

Storm-0558، التي تتعقبها Microsoft الآن باسم Antique Typhoon، مجموعة تجسس مقرها الصين. في عام 2023 زوّرت رموز مصادقة باستخدام مفتاح توقيع من Microsoft حصلت عليه. واستخدمت الرموز المزوّرة لقراءة بريد نحو 25 مؤسسة عبر Outlook Web Access.

أساليب العمل في السحابة

• يزوّر رموز Azure AD والرموز الاستهلاكية بمفتاح توقيع مكتسب
• يعيد تشغيل الرموز المزوّرة للوصول إلى Exchange Online و OWA
• يسرق رموز وصول التطبيقات ويحدّثها للبقاء مصادَقاً عليه
• يستخدم واجهات OWA REST لتنزيل صناديق البريد والمرفقات المستهدفة

تقنيات MITRE ATT&CK

المراجع

• Analysis of Storm-0558 techniques for unauthorized email access
• Microsoft mitigates China-based threat actor Storm-0558 targeting of customer email
• Results of Major Technical Investigations for Storm-0558 Key Acquisition