Storm-0558

Antique Typhoon としても追跡されています

Storm-0558 は、現在 Microsoft が Antique Typhoon として追跡している中国を拠点とするスパイ活動グループです。2023 年には、入手した Microsoft の署名鍵を使って認証トークンを偽造しました。偽造したトークンを使い、Outlook Web Access を通じて約 25 の組織のメールを読み取りました。

クラウドでの手口

• 取得した署名キーを使って Azure AD および consumer のトークンを偽造します
• 偽造したトークンをリプレイして Exchange Online と OWA にアクセスします
• アプリケーションのアクセストークンを盗み、更新して認証状態を維持します
• OWA の REST API を使って、標的のメールボックスや添付ファイルをダウンロードします

MITRE ATT&CK テクニック

参考資料

• Analysis of Storm-0558 techniques for unauthorized email access
• Microsoft mitigates China-based threat actor Storm-0558 targeting of customer email
• Results of Major Technical Investigations for Storm-0558 Key Acquisition