Au mois de janvier, Microsoft révélait avoir été la victime d'une cyberattaque au long cours du groupe Midnight Blizzard (alias Nobelium ou Cozy Bear) qui serait lié au service du renseignement extérieur de la Russie.
Via une attaque par pulvérisation de mot de passe (force brute), les attaquants ont eu accès à un ancien compte de test pour lequel une protection d'authentification à plusieurs facteurs n'avait pas été activée. Ils ont ensuite identifié et compromis une application OAuth disposant d'un accès élevé.
Des applications malveillantes ont été créées pour une authentification auprès de Microsoft Exchange Online et la compromission de comptes de messagerie de dirigeants de Microsoft. A priori, l'objectif du groupe de cyberespionnage était de savoir ce que Microsoft savait à son sujet.
Un accès à du code source
Désormais, Microsoft indique que ces dernières semaines, Midnight Blizzard a utilisé des informations initialement exfiltrées de ses systèmes de messagerie d'entreprise pour obtenir - ou tenter d'obtenir - un accès non autorisé.
En l'occurrence et sans plus de détails, Microsoft mentionne l'accès à certains de ses dépôts de code source et systèmes internes. Le groupe de Redmond souligne qu'à ce jour, il n'y a aucune preuve de compromission de systèmes hébergés par des clients.
" Il est évident que Midnight Blizzard tente d'utiliser les secrets de différents types qu'il a trouvés. Certains de ces secrets ont été partagés entre des clients et Microsoft par e-mail, et au fur et à mesure que nous les découvrons dans nos e-mails exfiltrés, nous avons pris contact avec ces clients pour les aider à prendre des mesures d'atténuation. "
Des critiques visent Microsoft
Dans un billet de blog, Microsoft écrit que par rapport en janvier, Midnight Blizzard a augmenté le volume de certains aspects de l'attaque, dont les pulvérisations de mot de passe. Il est question d'une attaque toujours en cours, au même titre que l'enquête.
" L'attaque de Midnight Blizzard se caractérise par un engagement soutenu et important de ressources, ainsi qu'une coordination. […] Il se peut qu'il utilise les informations obtenues pour dresser un tableau des zones à attaquer et renforcer sa capacité à le faire. " Microsoft insiste sur une cyberattaque sophistiquée soutenue par un État.
Pour la société de cybersécurité Tenable et son patron Amit Yoran, " l'attaque de Microsoft par Midnight Blizzard est un coup stratégique. […] L'omniprésence de Microsoft exige un niveau de responsabilité et de transparence bien plus élevé. […] Encore maintenant, Microsoft ne partage pas toute la vérité. Nous ne savons toujours pas, par exemple, quel code source a été compromis. Nous devrions tous être furieux que cela continue à se produire. "
