"TheHatman" beansprucht Exfiltration von 3,1 Millionen Azure-Daten von McDonald's, TCS und Vodafone über kompromittierte Anmeldedaten

Ein Bedrohungsakteur, der unter dem Alias "TheHatman" auf Cybercrime-Foren, in der vergangenen Woche, Behauptungen über den Besitz umfangreicher Unternehmensverzeichnisse aus Microsoft Azure- und Entra-ID-Mandanten durch kompromittierte Anmeldedaten veröffentlicht hat. Die Kampagne, die am 17. August von The Register und mehreren Fachveröffentlichungen gemeldet wurde, behauptet, multinationale Unternehmen verschiedener Branchen mit insgesamt mehr als 3,1 Millionen angeforderten Mitarbeiterdatensätzen ins Visier genommen zu haben.

Der Akteur behauptet, über mehr als 1,7 Millionen Datensätze von McDonald's, etwa 800.000 von Tata Consultancy Services (TCS), 425.000 von Vodafone, 250.000 von HCL Technologies und 170.000 von Kyndryl zu verfügen, sowie kleinere Mengen von Gap Inc., InterContinental Hotels Group (IHG), Wyndham Hotels und Hexaware. Die angeblichen Daten umfassen Namen, Unternehmens-E-Mail-Adressen, Telefonnummern, Mitarbeiter-IDs, Positionen, Management-Hierarchien, Dienstkonten und Auflistungen von globalen Administratoren des Azure Active Directory.

McDonald's, Vodafone, TCS, HCL, Kyndryl und die anderen genannten Organisationen hatten bis zum Zeitpunkt der Veröffentlichung dieses Artikels nicht öffentlich Stellung genommen.

Der Angriffsvektor: unsichere Konfigurationen, kein Produktfehler

"TheHatman" beschrieb die genaue Eindringmethode nicht weiter, als die Nennung kompromittierter Anmeldedaten. Forscher von Hudson Rock, die Proben der zum Verkauf stehenden Daten analysierten, beschrieben den Zugang als "unzureichend" basierend auf den verfügbaren Beweisen. Die von der Branche aufgestellten Hypothesen umfassen Infostealer, die Sitzungs-Token von kompromittierten Unternehmensmaschinen sammeln, gezieltes Phishing auf Konten mit administrativen Rechten, fehlende oder falsch konfigurierte multifaktorielle Authentifizierung in spezifischen Mandanten und Drittanbieter-Integrationen mit übermäßigen Lese-Rechten über Mandanten hinweg.

Microsoft hat keine neue Schwachstelle in Azure oder Entra ID im Zusammenhang mit der Kampagne bestätigt. "TheHatman" behauptet, unsichere Konfigurationen ausgenutzt zu haben, nicht einen Produktfehler, was direkte Verantwortlichkeiten mit sich bringt: Wenn der Vektor als Fehlkonfiguration bestätigt wird, obliegt die Pflicht zur Behebung den Betreibern der Mandanten und nicht der Plattform.

Warum globalen Administratorenlisten das Risiko verstärken

Konventionelle Dumps von Unternehmensverzeichnissen haben im Untergrundmarkt einen begrenzten Wert aufgrund des verfügbaren Volumens. Diese Kampagne ist anders: "TheHatman" behauptet, dass die Datensätze Dienstkonten und globale Administratoren des Azure Active Directory umfassen. Diese Felder verwandeln ein Personalverzeichnis in eine operative Angriffsmappe. Ein kompromittierter globaler Administrator hat die Berechtigung, neue Anmeldedaten zu erstellen, Zugriff auf Anwendungen zu gewähren, MFA für spezifische Konten zu deaktivieren und die Richtlinien für bedingten Zugriff im gesamten Mandanten ohne zusätzliche Genehmigung in Standardkonfigurationen zu ändern.

Für einen CISO ist die Präsenz dieser Felder in den angeblichen Daten ein Zeichen für die dringlichsten Maßnahmen, unabhängig von einer offiziellen Bestätigung der Datenverletzung.

Die geografische Analyse: Chicago, Chennai und London

Die Liste der angeblichen Opfer umfasst drei geografische Risikoregionen. McDonald's betreibt global Workforce-Management-Systeme aus Chicago, mit Personaldaten, die über Europa, Asien-Pazifik und Lateinamerika verteilt sind. TCS und HCL Technologies mit Hauptsitzen in Mumbai und Noida beschäftigen gemeinsam mehr als 600.000 Fachkräfte in Betrieben, die über mehr als 50 Länder verteilt sind, mit Kunden, die sich auf Finanz- und Telekommunikationsdienstleistungen in den USA und Europa konzentrieren. Vodafone, ein britischer Anbieter mit Präsenz in 20 Märkten, hält Azure-Verzeichnisse, die den GDPR in Europa und entsprechenden regulatorischen Anforderungen im Nahen Osten und Südafrika unterliegen.

Die Kombination der Sektoren deutet darauf hin, dass der Akteur die Opfer nicht nach Vertikalstruktur, sondern nach gemeinsam geteilter Konfigurationsanfälligkeit in Azure Entra ID ausgewählt hat, möglicherweise über einen Integrationspartner für Identität oder einen gemeinsamen SSO-Anbieter für mehrere globale Mandanten.

Was jetzt priorisiert werden sollte

Die sofortige Reaktion hängt nicht von einer Bestätigung ab. CISOs von Organisationen, die Azure-Mandanten mit globalem Umfang betreiben, sollten die Berechtigungen für globale Administratoren überprüfen, Protokolle für privilegierten Zugriff der letzten vier Wochen auditen und Warnungen für Privileged Identity Management (PIM) bei nicht genehmigten Berechtigungssteigerungen aktivieren. Der Zeitraum zwischen einer stillen Exfiltration und der Veröffentlichung in einem Underground-Forum beträgt häufig Wochen; in diesem Fall kam der öffentliche Alarm zuerst.

Kampagnen wie die, die "TheHatman" zugeschrieben werden, zeigen, warum der Identitätsperimeter den Netzwerkperimeter als primäre Angriffsfläche in modernen Unternehmensumgebungen überholt hat: Es gibt keine Firewall, die die Verwendung einer gültigen Anmeldedaten durch den falschen Betreiber blockiert.