Storm-0558

Antique Typhoon으로도 추적됨

Storm-0558은 현재 Microsoft가 Antique Typhoon으로 추적하는 중국 기반 스파이 그룹입니다. 2023년에 입수한 Microsoft 서명 키를 사용하여 인증 토큰을 위조했습니다. 위조된 토큰을 사용하여 Outlook Web Access를 통해 약 25개 조직의 이메일을 읽었습니다.

클라우드 공격 수법

• 획득한 서명 키로 Azure AD 및 소비자 토큰을 위조합니다
• 위조된 토큰을 재생하여 Exchange Online과 OWA에 접근합니다
• 애플리케이션 액세스 토큰을 탈취하고 갱신하여 인증 상태를 유지합니다
• OWA REST API를 사용하여 표적 사서함과 첨부 파일을 다운로드합니다

MITRE ATT&CK 기법

참고 자료

• Analysis of Storm-0558 techniques for unauthorized email access
• Microsoft mitigates China-based threat actor Storm-0558 targeting of customer email
• Results of Major Technical Investigations for Storm-0558 Key Acquisition