Storm-2949 est un acteur malveillant sophistiqué qui a exploité le processus de réinitialisation de mot de passe en libre-service (Self-Service Password Reset) de Microsoft pour compromettre des comptes à forte valeur, ciblant principalement le personnel informatique et les cadres dirigeants. Il a tiré parti des outils et des API Azure pour mener des activités de reconnaissance, exfiltrer des données sensibles depuis les applications Microsoft 365 et manipuler des ressources Azure, notamment des Key Vaults et des bases de données SQL. L'acteur a employé des tactiques d'ingénierie sociale pour contourner la MFA et a utilisé des scripts Python sur mesure pour la découverte de l'annuaire et l'exfiltration de données. Ses opérations comprenaient des déplacements latéraux à travers les environnements cloud et endpoint, tout en imitant un comportement administratif légitime.
Références
Métadonnées de l'acteur importées depuis Malpedia (Fraunhofer FKIE).