مایکروسافت کلیدهای خود را از دست داد و دولت هک شد

مایکروسافت هنوز نمی داند که چگونه هکرهای تحت حمایت چین کلیدی را به سرقت برده اند که به آن ها اجازه می داد به صورت مخفیانه به ده ها صندوق ورودی ایمیل از جمله صندوق های متعلق به چندین سازمان دولتی فدرال نفوذ کنند.

مایکروسافت روز جمعه در یک پست وبلاگی اعلام کرد که موضوع در دست بررسی است که چگونه هکرها به یک کلید امضای مایکروسافت دست یافته اند که برای جعل توکن های احراز هویت مورد سوء استفاده قرار گرفته است که به هکرها اجازه می داد به صندوق ورودی دسترسی داشته باشند، گویی که آن ها مالکان واقعی هستند. گزارش ها حاکی از آن است که اهداف شامل جینا ریموندو، وزیر بازرگانی آمریکا، مقامات وزارت خارجه آمریکا و دیگر سازمان هایی است که هنوز به صورت عمومی اعلام نشده اند.

مایکروسافت سه شنبه گذشته این حادثه را افشا کرد و فعالیت یک ماهه خود را به یک گروه جاسوسی تازه کشف شده به نام Storm-0558 نسبت داد که معتقد است ارتباط قوی با چین دارد. آژانس امنیت سایبری آمریکا CISA اعلام کرد که این هک ها که از اواسط ماه مه آغاز شد، شامل تعداد کمی از حساب های دولتی می شود که گفته می شود تک رقمی هستند و هکرها برخی از داده های ایمیل طبقه بندی نشده را استخراج کرده اند. در حالی که دولت آمریکا این هک ها را به صورت عمومی نسبت نداده، سخنگوی ارشد وزارت خارجه چین روز چهارشنبه این اتهامات را رد کرد. 

جایی که چین از آسیب پذیری های ناشناخته قبلی برای هک جداگانه سرورهای ایمیل مایکروسافت برای سرقت اطلاعات شرکت ها استفاده کرده است، این گروه هک در عوض با هدف قرار دادن آسیب پذیری های جدید و فاش نشده در فضای ابری مایکروسافت مستقیما به سراغ منبع رفته است.

مایکروسافت در پست وبلاگی خود اعلام کرد هکرها یکی از کلیدهای امضای مشتری یا کلید MSA را که این شرکت از آن برای ایمن سازی حساب های ایمیل مصرف کننده مانند دسترسی به Outlook.com استفاده می کند، به دست آورده اند. مایکروسافت متوجه شد که هکرها از کلید مصرف کننده MSA برای جعل توکن ها استفاده می کنند که به آن ها اجازه می دهد وارد صندوق‌های ورودی سازمانی شوند. مایکروسافت گفت این به دلیل “خطای اعتبارسنجی در کد مایکروسافت” بوده است.

مایکروسافت اعلام کرد تمامی فعالیت های مرتبط با این حادثه را مسدود کرده است که نشان می دهد این حادثه به پایان رسیده و هکرها دسترسی خود را از دست داده اند. اگرچه مشخص نیست که مایکروسافت چگونه کنترل کلیدهای خود را از دست داده است، اما این شرکت گفته است که سیستم های صدور کلید خود را سفت وسختر کرده است.

هکرها یک اشتباه کلیدی مرتکب شدند. وآن هم استفاده از کلید یکسان برای حمله به چندین اینباکس، مایکروسافت اعلام کرد که این کار به محققان اجازه می دهد “تمام درخواست های دسترسی فعالانی که از این الگو در سیستم های سازمانی و مصرفی ما پیروی می کنند را ببینند”. 

با پایان یافتن این تهدید فوری، مایکروسافت اکنون برای رسیدگی به این حادثه که بزرگ ترین نقض داده های طبقه بندی نشده دولتی از زمان کمپین جاسوسی روسیه محسوب می شود که سولارویندز را در سال ۲۰۲۰ هک کرد، مورد بررسی قرار گرفته است.
همانطور که توسط دن گودین از Ars Technica اشاره شده است، مایکروسافت تمام تلاش خود را برای کنترل آسیب در پست وبلاگ خود انجام داد و از عباراتی مانند “روز صفر” اجتناب کرد، که به زمانی اشاره دارد که یک سازنده نرم افزار اخطار صفر روزه برای رفع آسیب پذیری که قبلاً مورد سوء استفاده قرار گرفته است دارد. چه این باگ یا بهره برداری از آن با تعریف همگان از روز صفر مطابقت داشته باشد یا نه، مایکروسافت تمام تلاش خود را کرد تا از توصیف آن به این شکل اجتناب کند یا حتی آن را یک آسیب پذیری خطاب کند.
ترکیب نشت کلید و سو استفاده از آن، عدم مشاهده نفوذ توسط خود بخش های دولتی بود. مایکروسافت همچنین برای ذخیره لاگ های امنیتی برای حساب های دولتی با بسته رده بالای این شرکت که ممکن است به دیگر پاسخ دهندگان به حادثه در شناسایی فعالیت های مخرب کمک کرده باشد، اقدام می کند.

سی ان ان ابتدا گزارش داد که وزارت امور خارجه این نقض را شناسایی کرده و آن را به مایکروسافت گزارش داده است. اما همه بخش های دولتی سطح یکسانی از نفوذ امنیتی را نداشتند، که به گفته وال استریت ژورنال برای دپارتمان‌هایی که حساب‌های مایکروسافت سطح بالاتری داشتند، در دسترس بود اما سایر بخش ها در دسترس نبودند.” مری جو فولی “Mary Jo Foley، سردبیر نشریه ” Directions on Microsoft ” که یک موسسه مشاوره ای برای مشتریان مایکروسافت است، روز دوشنبه در یک پست وبلاگی اعلام کرد که رده پایین دولتی برخی از داده های مربوط به صندوق پستی را که ممکن است این حمله را فاش کند، ردیابی نمی کند. مایکروسافت به این مجله گفت که در حال “ارزیابی بازخوردها” است. 

افشای گسترده مایکروسافت در روز جمعه، بارقه ای از جزئیات فنی بیشتر و شاخص های سازش را ارائه کرد که پاسخ دهندگان حادثه می توانند بررسی کنند که آیا شبکه های آن ها هدف قرار گرفته است یا خیر، این غول فن آوری هنوز سوالاتی برای پاسخ دادن دارد. صرف نظر از اینکه مایکروسافت پاسخ ها را آماده کرده باشد یا نه، به احتمال زیاد این تحقیقی نخواهد بود که این غول فن آوری بتواند به زودی انجام دهد.