سوءاستفاده از بازنشانی رمز عبور سرویس مایکروسافت در حملات سرقت داده Azure

یک عامل تهدید (threat actor) که مایکروسافت آن را با نام «Storm-2949» ردیابی می‌کند، با سوءاستفاده از ابزارها و قابلیت‌های مشروع مدیریتی، به محیط‌های تولیدی Microsoft 365 و Azure حمله کرده و داده‌های حساس سازمان‌ها را به سرقت می‌برد. این گروه با استفاده از مهندسی اجتماعی (social engineering)، کاربران دارای نقش‌های ممتاز مانند پرسنل فناوری اطلاعات و مدیران ارشد را هدف قرار داده و با جعل هویت پشتیبانی فنی، فرآیند بازنشانی رمز عبور خودسرویس (SSPR) را دستکاری کرده و کنترل‌های احراز هویت چندعاملی (MFA) را حذف می‌کند تا به اعتبارنامه‌های Microsoft Entra ID دست یابد.

پس از تصاحب حساب‌های کاربری، Storm-2949 با بهره‌گیری از Microsoft Graph API و اسکریپت‌های سفارشی پایتون، اطلاعات کاربران و نقش‌ها را شناسایی کرده و هزاران فایل را از OneDrive و SharePoint استخراج می‌کند. این گروه سپس حمله را به زیرساخت Azure گسترش داده و با سوءاستفاده از مجوزهای کنترل دسترسی مبتنی بر نقش (RBAC)، به Key Vault‌ها، پایگاه‌های داده SQL، حساب‌های ذخیره‌سازی و ماشین‌های مجازی نفوذ می‌کند. مایکروسافت برای مقابله با این تهدید، اجرای اصل حداقل دسترسی، فعال‌سازی سیاست‌های دسترسی شرطی (conditional access policies) و استفاده از MFA مقاوم در برابر فیشینگ برای کاربران ممتاز را توصیه می‌کند.