Varonis обнаружила уязвимость Power Automate в Microsoft 365
Команда аналитиков Varonis Systems обнаружила способ злоупотребления облачным сервисом Power Automate в Microsoft 365 — хакеры могут использовать его для кибератак. Power Automate дает возможность злоумышленникам автоматически извлекать данные, взаимодействовать с серверами C2 и уклоняться от средств обнаружения.
Power Automate, по умолчанию включенный в Microsoft 365, позволяет пользователям автоматизировать бизнес-задачи и рабочие процессы между различными приложениями и службами. С его помощью можно создавать «потоки» (автоматизированное поведение между приложениями) для Outlook, SharePoint и OneDrive — для совместного использования и отправки файлов, пересылки электронной почты и многого другого. Чтобы создать «поток» и настроить сценарий поведения между приложениями пользователь должен создать соединение между двумя приложениями для передачи данных между ними. Например, при получении письма на электронную почту отправляется сообщение в Teams и создается запись в списке SharePoint.
Аналитики Varonis обнаружили два метода, которые могут использоваться для кибератак. Первый предусматривает прямой доступ к конечной точке пользовательского «потока» для запроса существующих подключений, а второй — загрузку обманным путем поддельного приложения Azure.
Первый метод сложнее осуществить, но он наносит более серьезный вред в случае успешной реализации. После взлома учетной записи Microsoft 365 злоумышленники могут просто выполнить команду, которая приведет к утечке входящих конфиденциальных данных, без необходимости вручную создавать поток Power Automate.
Второй метод изощреннее: как только пользователь даст согласие на запуск вредоносного приложения, у него появятся необходимые разрешения для создания «потока». Однако создать новое соединение с помощью приложения невозможно. Хакер может использовать только существующие подключения, то есть приложения Azure ограничивают злоумышленников пользователями, которые уже установили определенные подключения.
Злоумышленники могут использовать Power Automate для экспорта электронной почты через новые правила переадресации. И так как они создаются не в Outlook/Exchange, то этот процесс невозможно обнаружить и заблокировать. Поток «Переадресация электронной почты» будет автоматически пересылать все полученные письма хакеру. При этом название потока настраивается и может быть изменено на более непонятное пользователю значение.
Вредоносные потоки открывают также доступ к данным из Delve, статистике файлов SharePoint и другой конфиденциальной информации. К примеру, несанкционированная загрузка файлов SharePoint возможна через созданные «потоком» анонимные ссылки общего доступа, которые перенаправляются на сервер преступников с помощью API.
Аналитики Varonis отмечают, что предотвратить угрозу кражи данных через Power Automate поможет мониторинг создания и активности автоматизированных потоков, приложений Azure, доступа к ресурсам, разрешений для приложений, нетипичных аутентификаций и входа в систему.
Также Varonis добавляет для событий в Microsoft 365 больше контекста на основе поведения пользователей. Это позволяет обнаруживать аномальный доступ к данным и активность электронной почты исходя из сохраненного базового поведенческого профиля пользователя.
Такая линия защиты от кражи данных через Power Automate не требует написания специальных правил обнаружения или ручного поиска подозрительных изменений в IP-адресах или строках агента пользователя. Оповещения на основе поведения также эффективны при обнаружении заражения систем вредоносным ПО— злоумышленникам очень сложно имитировать обычное поведение пользователя.
Помимо этого, аналитики Varonis рекомендуют блокировать электронные письма, переадресованные из Power Automate, и запретить передачу данных с помощью электронной почты, настроив элементы управления коннекторов к различным сервисам.
Более подробная информация об исследовании в блоге компании Varonis Systems.
О компании Varonis (https://www.varonis.com/ru/) Varonis Systems – разработчик программных решений для защиты от комплексных кибератак, основанных на поведенческом анализе пользователей и защите данных компании. Компания была основана в 2005 году, став пионером в области управления и контроля неструктурированных данных. По разным источникам, Varonis занимает более 70% мирового рынка в этой области. Среди разработок Varonis решение по аудиту периметра сети и поведенческому анализу, которое помогает заказчикам вовремя выявлять продвинутые кибератаки и защищаться от них. Сегодня у компании более 7000 заказчиков во всем мире.
Контактное лицо: Татьяна Алексеева
Компания: Varonis
Добавлен: 23:55, 01.03.2022
Количество просмотров: 141
Страна: Россия
Федеральная сеть аптек «Максавит» отказалась от бумаги в кадровом делопроизводстве (КДП) и подключила сотрудников к платформе для кадрового ЭДО HRlink.
ГК SIMETRA, центр компетенций в области моделирования транспортных потоков и транспортного планирования, подписала соглашение о сотрудничестве с Тюменским индустриальным университетом (ТИУ) – одним из ведущих вузов региона
ГК Юзтех объявляет о стратегическом партнерстве с Нефтегазовым межрегиональным кластером для совместного развития и внедрения инновационных технологий в нефтегазовой отрасли.
ИТ-компания «Погнали!» запустила свое решение в облаке нового поколения NGcloud. На облачных ресурсах Nubes разработчик развернул масштабную онлайн-платформу для любителей путешествовать по России, а для хранения большого объема данных подключил сервис объектного хранилища S3.
Образовательная онлайн-платформа OTUS запускает курс «DWH на основе Arenadata». Обучение поможет освоить базовые навыки для успешной работы на проектах по созданию и развитию хранилищ данных и систематизировать уже имеющиеся знания.
ИТ-компания «Погнали!» запустила свое решение в облаке нового поколения NGcloud. На облачных ресурсах Nubes разработчик развернул масштабную онлайн-платформу для любителей путешествовать по России, а для хранения большого объема данных подключил сервис объектного хранилища S3.
Компания Hybrid, специализирующаяся на высокотехнологичных разработках в области интернет-рекламы, запустила собственную школу обучения Ad operation менеджеров. Инициатива направлена на молодых специалистов города Тамбова и позволит со временем ликвидировать дефицит профессионалов в сфере adtech.
Оргкомитет I Международного творческого конкурса авторов контента в поддержку идеи радикального продления жизни людей «Вместе против старения: голос Жизни» объявляет о продлении сроков приёма творческих работ до сентября 2024 года.
ГК SIMETRA и Санкт-Петербургский государственный архитектурно-строительный университет (СПбГАСУ) заключили соглашение о сотрудничестве. В рамках соглашения SIMETRA поставила вузу академические лицензии на использование в образовательном процессе цифровой платформы RITM³.
Архитектуру платформы кадрового электронного документооборота (ЭДО) HRlink адаптировали к существенному росту количества пользователей. Кроме того, в 2024 году HRlink первой на рынке решений для безбумажного КДП занялась подключением второго удостоверяющего центра для электронных подписей.
PMP Tech, ведущая IT-компания из Петербурга, заняла второе место на независимой премии Workspace Digital Awards. Компания выдвинулась с кейсом "Мобильное приложение Брелок” в номинации "Недвижимость и строительство" в категории "Мобильные приложения".
Комитет по тарифам Санкт-Петербурга оптимизировал ряд своих рабочих процессов за счёт внедрения трех программных роботов. Проект реализовали специалисты Санкт‑Петербургского информационно-аналитического центра.
Специалисты компаний «Газинформсервис» и ООО «Д-Линк Трейд» успешно завершили технические испытания совместимости. Испытания подтвердили корректность функционирования комплекса по защите ИТ-инфраструктуры Efros DefOps с оборудования D-Link серий DGS-1210-XX, DGS-1210-XX/ME, DGS-3130-XX, DGS-3630-XX, DXS-3610-XX.
