他们创建了恶意应用程序来导航的企业环境

通过操纵权限，他们授予自己对邮箱的完全访问权限，他们能够轻松泄露敏感电子邮件。安全挑战以身份为中心的策略：战略性地针对身份，利用用户的凭据作为敏感数据的网关。等传统检测控制措施无法有效抵御此类攻击。应用程序滥用：攻击者巧妙地滥用应用程序，这种技术检测变得复杂并能够延长持久性。错误配置盲点：识别和环境中的错误配置仍然是项复杂的任务，通常会导致防御者出现盲点。逐步细分预泄露在攻击开始之前，测试租户中的管理员创建了个应用程序。出于本博文的目的，们将此应用程序称为。由于未知原因，该应用程序随后以提升的权限安装在的企业环境中，可能涵盖范围，授予其创建用户和分配角色的能力。



值得注意的是，这个应用程序似乎处于休眠状态，并且可能被遗忘。注意：应用程序、用户以及相关的错误配置和权限的蔓延难以想象，而安全团队通常无法了解这些情况。通常，此类盲点会导致公开的违规行为。初始访问年月下旬，午夜暴雪 英国手机号码 发起对微软环境的侦察。发现测试租户后，攻击者将目标锁定为其管理员帐户，该帐户是个测试帐户，其密码较弱、可猜测，并且缺乏多重身份验证。攻击者采用密码喷射攻击，系统地尝试用常用密码来获取访问权限，利用住宅代理来混淆其来源并最大程度地减少怀疑。最终，攻击者成功入侵了管理员帐户。注意：传统的威胁检测和监控控制对于用有效凭据、提示轰炸和其他以身份为中心的技术来危害用户的攻击无效。







坚持通过控制管理员帐户，攻击者能够为生成新的密钥，从而在所有安装中有效地控制它。这种策略反映了年攻击中观察到的技术。注意：如果缺乏针对应用程序中权限恶意更改的持续监控和高可信度警报，此类攻击很容易跨越杀伤链的初始访问阶段。权限提升鉴于在企业租户中的权限，攻击者创建了个新用户可能是管理员来进步访问。随后，攻击者在租户内部署了其他恶意应用程序，以逃避检测并确保持久性，利用授予提升的角色，例如角色，促进邮箱访问并绕过保护。注意：基于配置和权限的盲点扩展到身份本身。因此，组织必须能够持续评估其是否存在错误配置、过度宽松的策略以及其他允许攻击者从受损身份升级权限的权限。