Markt + Trends | IT-Sicherheit | iX

60 000 geklaute Regierungsmails: erste Zahlen nach Microsofts Cloud-Key-Debakel

Microsoft hat sich einen Token-Signing Key für die Azure Cloud klauen lassen, die Auswirkungen waren unklar. Nun gibt es erste Zahlen zu den Folgen.

Ein Mitarbeiter des US-Außenministeriums hat gegenüber der Nachrichtenagentur Reuters erste Zahlen zum Ausmaß der Schäden nach dem Diebstahl eines Azure Cloud Signing Key bekannt gegeben (siehe ix.de/zyzj). Demnach sprachen IT-Beauftragte bei einem Briefing von 60 000 gestohlenen Mails aus zehn Accounts des State Department. Die Angreifer erbeuteten ebenfalls Listen mit allen E-Mail-Adressen der Behörde. Zum Zeitpunkt des Datendiebstahls waren die Hacker in der Lage, sich selbst gültige Zugangstoken zu Microsofts Common IDP (Identity Provider) zu signieren. Als Angreifer identifizierte Microsoft die chinesische Hackergruppe Storm-0558, die es laut Microsoft auch auf europäische Behörden abgesehen hatte.

Der ursprüngliche Angriff auf Microsofts IDP mit einem gestohlenen Token-Signing Private Key mutete Mitte des Jahres an wie ein Cloud-GAU. Die Hacker konnten sich damit eine Art Generalschlüssel für Exchange Online verschaffen; die Kompromittierung flog erst auf, als US-Behörden in zu dem Zeitpunkt noch kostenpflichtigen Logs verdächtige Aktivitäten bemerkten. Abhanden gekommen war der Key bereits 2021, als er bei einem Absturz einer Instanz des Common IDP aufgrund einer Race Condition in den Crash Dump geschrieben wurde. Einmal außerhalb der gehärteten Produktionsumgebung, wurden die Daten von den Angreifern aus einem Entwickleraccount in der Debug-Umgebung geklaut. Eine Verkettung unglücklicher Ereignisse, wie Microsoft es in einem Blogartikel beteuerte (siehe ix.de/zyzj).