Editor Top
Todos los ataques provinieron de una única fuente, un rango de direcciones IPv6 controlado por el proveedor de Internet LSHIY LLC, dijo Huntress en un publicación de blog. Desde entonces, LSHIY ha cancelado el acceso del cliente que utiliza las direcciones IP involucradas en el ataque.
Huntress había estado monitoreando los ataques con rociadores durante algún tiempo y había notado un ligero aumento desde el 12 de junio, y luego un pico repentino el 22 de junio, cuando 30 de sus clientes se vieron afectados.
Los atacantes reprodujeron credenciales validadas a través del OAuth Flujo ROPC (Credenciales de contraseña del propietario del recurso). Esto toma un nombre de usuario/contraseña en el punto final /token para un inquilino y genera un nuevo token delegado por el usuario, una vez que se le proporcionan las credenciales correctas. Esto fue posible porque la autenticación multifactor (MFA) no se había configurado para manejar las técnicas implementadas por los atacantes.
