Storm-0558

Également suivi sous le nom Antique Typhoon

Storm-0558, désormais suivi par Microsoft sous le nom d'Antique Typhoon, est un groupe d'espionnage basé en Chine. En 2023, il a forgé des jetons d'authentification à l'aide d'une clé de signature Microsoft acquise. Il a utilisé les jetons forgés pour lire les e-mails d'environ 25 organisations via Outlook Web Access.

Techniques cloud

• Forge des jetons Azure AD et grand public avec une clé de signature acquise
• Rejoue des jetons forgés pour accéder à Exchange Online et OWA
• Vole et rafraîchit des jetons d'accès applicatifs pour rester authentifié
• Utilise les API REST d'OWA pour télécharger des boîtes aux lettres et des pièces jointes ciblées

Techniques MITRE ATT&CK

Références

• Analysis of Storm-0558 techniques for unauthorized email access
• Microsoft mitigates China-based threat actor Storm-0558 targeting of customer email
• Results of Major Technical Investigations for Storm-0558 Key Acquisition