Storm-0558

También rastreado como Antique Typhoon

Storm-0558, ahora rastreado por Microsoft como Antique Typhoon, es un grupo de espionaje con base en China. En 2023 falsificó tokens de autenticación usando una clave de firma de Microsoft que había obtenido. Usó los tokens falsificados para leer el correo de unas 25 organizaciones a través de Outlook Web Access.

Técnicas cloud

• Falsifica tokens de Azure AD y de consumidor con una clave de firma adquirida
• Reproduce tokens falsificados para acceder a Exchange Online y OWA
• Roba y renueva tokens de acceso de aplicaciones para mantenerse autenticado
• Usa las API REST de OWA para descargar buzones y archivos adjuntos concretos

Técnicas de MITRE ATT&CK

Referencias

• Analysis of Storm-0558 techniques for unauthorized email access
• Microsoft mitigates China-based threat actor Storm-0558 targeting of customer email
• Results of Major Technical Investigations for Storm-0558 Key Acquisition