Storm-0558

Auch bekannt als Antique Typhoon

Storm-0558, das Microsoft inzwischen als Antique Typhoon verfolgt, ist eine in China ansässige Spionagegruppe. 2023 fälschte sie Authentifizierungstoken mithilfe eines erbeuteten Microsoft-Signaturschlüssels. Mit den gefälschten Tokens las sie über Outlook Web Access E-Mails von etwa 25 Organisationen.

Cloud-Tradecraft

• Fälscht Azure AD- und Consumer-Tokens mit einem erlangten Signierschlüssel
• Spielt gefälschte Tokens erneut ab, um auf Exchange Online und OWA zuzugreifen
• Stiehlt und aktualisiert Anwendungs-Zugriffstoken, um authentifiziert zu bleiben
• Nutzt OWA-REST-APIs, um gezielte Postfächer und Anhänge herunterzuladen

MITRE ATT&CK-Techniken

Referenzen

• Analysis of Storm-0558 techniques for unauthorized email access
• Microsoft mitigates China-based threat actor Storm-0558 targeting of customer email
• Results of Major Technical Investigations for Storm-0558 Key Acquisition