Vì các thông báo đến từ tên miền onmicrosoft.com hợp pháp nên chúng có thể đã khiến các thông báo hỗ trợ giả mạo của Microsoft trông có vẻ đáng tin cậy. “Trong một số trường hợp, các tin tặc cố gắng thêm một thiết bị vào tổ chức dưới dạng thiết bị được quản lý thông qua Microsoft Entra ID (trước đây là Azure Active Directory), có thể là nỗ lực phá vỡ các chính sách truy cập có điều kiện được cấu hình để chỉ hạn chế quyền truy cập vào các tài nguyên cụ thể đối với các thiết bị được quản lý”, Microsoft cho biết.

 

Gã khổng lồ công nghệ này báo cáo đã chặn thành công nhóm tin tặc APT29 sử dụng các tên miền trong các cuộc tấn công khác và hiện đang tích cực làm việc để giải quyết và giảm thiểu tác động của chiến dịch.

 

Nhóm tin tặc tình báo nước ngoài của Nga

 

Các nhà nghiên cứu của Microsoft cho biết, nhóm tin tặc APT29 đứng sau hoạt động này được biết đến với tên gọi khác là “Midnight Blizzard”, có trụ sở tại Nga và có liên kết với SVR, đã đứng sau cuộc tấn công chuỗi cung ứng SolarWinds dẫn đến những vi phạm của một số cơ quan, tổ chức của Mỹ vào ba năm trước.

 

Kể từ sự cố đó, nhóm tin tặc này cũng đã thực hiện các cuộc xâm nhập mạng vào các tổ chức khác bằng cách sử dụng phần mềm độc hại tàng hình, bao gồm “TrailBlazer” và một biến thể của backdoor “GoldMax Linux”, cho phép chúng không bị phát hiện trong nhiều năm.

 

Gần đây hơn, Microsoft đã tiết lộ rằng nhóm tin tặc này đang sử dụng phần mềm độc hại mới có khả năng chiếm quyền kiểm soát dịch vụ Active Directory Federation Services (ADFS) để đăng nhập với tư cách là bất kỳ người dùng nào trong hệ thống Windows. Hơn nữa, chúng đã nhắm mục tiêu đến các tài khoản Microsoft 365 thuộc về các thực thể tại các quốc gia thuộc Tổ chức Hiệp ước Bắc Đại Tây Dương (NATO) như một phần trong nỗ lực giành quyền truy cập vào thông tin liên quan đến các chính sách đối ngoại.

 

Ngoài ra, APT29 còn đứng sau một loạt các chiến dịch lừa đảo với mục tiêu rõ ràng vào các chính phủ, đại sứ quán và các quan chức cấp cao trên khắp các quốc gia tại châu Âu.