Des utilisateurs d'Outlook.com ont pu voir leur compte mail compromis, Réactions à la publication du 16/04/2019

[Lionel]

Microsoft a annoncé qu'un nombre limité d'utilisateurs de messageries web ont pu voir leur compte compromis par des pirates.
La faille a perduré entre le premier janvier et le 28 mars.
Cela ne concerne que ceux utilisant des services gratuits de mail Outlook.com et pas les comptes commerciaux.

La faille a été comblée et les personnes ayant pu être touchées ont été averties.

Lien vers le billet original

[linus]

Je ne suis pas admin réseaux alors je me demande si, aprés une attaque, il est vraiment possible de retrouver le détail des dégâts ?
J’imagine qu’iun pirate prendra systématiquement soin d’effacer les lignes files, non ? Lors d’une attaque chez nous, le pirate avait également crypté les backups. Ceci laisse supposer qu’un pirate performant doit pouvoir effacer ces traces.
Quand on lit, après un attaque massive, perpétrée manifestement par des experts, de la part de la boîte touchée : « tant de comptes ont été touchés mais ce n’est pas trop grave parce que ... » je me demande ce qu’ils en savent vraiment et comment ils le savent.
Comme il y a des experts sur MacBidouille ...

[iAPX]

Je ne suis pas admin réseaux alors je me demande si, aprés une attaque, il est vraiment possible de retrouver le détail des dégâts ?
J’imagine qu’iun pirate prendra systématiquement soin d’effacer les lignes files, non ? Lors d’une attaque chez nous, le pirate avait également crypté les backups. Ceci laisse supposer qu’un pirate performant doit pouvoir effacer ces traces.
Quand on lit, après un attaque massive, perpétrée manifestement par des experts, de la part de la boîte touchée : « tant de comptes ont été touchés mais ce n’est pas trop grave parce que ... » je me demande ce qu’ils en savent vraiment et comment ils le savent.
Comme il y a des experts sur MacBidouille ...

Ça tombe bien, je suis un peu là-dessus.

Pour ce qui concerne la prise d'information en amont, les gens sérieux en font un maximum et mettent ça dans les logs (effaçables donc) mais prennent soin d'envoyer les logs en temps-réel sur un third-part qui lui les conserve et n'offre pas la possibilité de les altérer ou de les effacer (même par nous) : il faudrait donc pirater l'architecture du third-part aussi pour les effacer.

Pour les Backups, même procédure (mais chiffrés fortement), avec un autre fournisseur, en sachant que des backups sont déjà réalisé par le fournisseur principal sans option d'effacement ou d'altération de ceux-ci.
Là il faudrait pirater 2 gros joueurs pour effacer nos backups, et même si on y a accès ils sont chiffrés fortement et asymétriquement (avoir accès aux serveurs ne permet pas de déchiffrer les backups).

Les accès aux comptes et aux informations, ainsi que leurs modifications sont souvent loggés pour ces raisons, permettant de retracer une activité a-posteriori.

Je rajouterais qu'il y a -évidemment- d'autres finesses, mais comme c'est ma tambouille perso je ne peux en parler, mais que juste réussir à pénétrer sur une interface ou sur un serveur en ssh n'est pas contrôler les choses mais au contraire tomber sur une série de pièges, et que passer le premier cercle de défense externe (donc essayer de communiquer avec nos serveurs autrement que défini pour leur usage) amène là-aussi des réactions qui peuvent être violentes, allant jusqu'à la fermeture totale ou l'arrêt.

Ce message a été modifié par iAPX - 16 Apr 2019, 14:11.

[marc_os]

Cela ne concerne que ceux utilisant des services gratuits de mail Outlook.com et pas les comptes commerciaux.

Étonnant, non ?

[SartMatt]

Cela ne concerne que ceux utilisant des services gratuits de mail Outlook.com et pas les comptes commerciaux.

Étonnant, non ?

Services différents, hébergés sur des infrastructures différentes.
Donc non, strictement rien d'étonnant.

Je ne suis pas admin réseaux alors je me demande si, aprés une attaque, il est vraiment possible de retrouver le détail des dégâts ?

Ça dépend énormément de l'attaque, de ce à quoi à eu accès l'attaquant et avec quel niveau de privilège.

En l'occurrence, ici, les attaquants n'ont eu qu'un accès assez haut niveau aux services de Microsoft, en ayant réussi à obtenir les identifiants d'accès d'un employé du support. Avec un accès aussi haut niveau, ils ne doivent vraiment pas pouvoir effacer grand chose de leurs traces, en général toutes les actions des agents du support sont tracées, sans qu'ils aient la possibilité de les effacer.