Storm-0558
El grupo chino que en 2023 falsificó llaves de Microsoft para leer el correo de la Secretaria de Comercio y del Departamento de Estado de Estados Unidos.
Quién es
Storm-0558 es un actor de espionaje que Microsoft ubica en China y que hoy sigue como Antique Typhoon. La Junta de Revisión de Ciberseguridad de Estados Unidos (CSRB) lo describe como un grupo afiliado a la República Popular China que busca el correo de personas de interés para su gobierno. En abril de 2024 esa junta concluyó que su intrusión de 2023 se pudo haber evitado.
Cómo entra
En 2023 falsificó tokens de autenticación con una llave de firma de cuentas de consumo de Microsoft robada, de 2016. Una falla de validación dejó que esos tokens abrieran buzones empresariales de Exchange Online y Outlook Web Access. Cómo se robó la llave sigue sin probarse. Antes ya usaba phishing, robo de credenciales y web shells como China Chopper en aplicaciones expuestas.
Qué hace una vez dentro
Lee y saca el correo de las personas que le interesan por la API de Outlook Web Access con scripts de PowerShell y Python. Usa el malware Cigril, roba credenciales del sistema y se esconde detrás de proxies, Tor y SOCKS5.
A quién ataca
Órganos diplomáticos, económicos y legislativos de Estados Unidos y Europa, personas ligadas a temas de Taiwán y de los uigures, medios, centros de análisis y telecomunicaciones. En 2023 entró a los buzones de más de 500 personas en 22 organizaciones, entre ellas la Secretaria de Comercio y el embajador de Estados Unidos en China.
Villanos relacionados
Fuentes
