Storm‑2949 : d’un simple compte compromis à une intrusion à l’échelle du cloud
Microsoft indique que l’attaque Storm‑2949 a commencé par la compromission d’une seule identité, utilisée ensuite pour explorer le tenant via l’API Microsoft Graph et identifier des comptes à privilèges élevés.[1][4] Les attaquants ont abusé du Self‑Service Password Reset et des mécanismes RBAC d’Azure pour étendre...
What did Microsoft reveal about how Storm-2949 used a compromised identity and the Self-Service Password Reset process to breach Microsoft 3Storm‑2949 used identity compromise and legitimate cloud management tools to move through Microsoft 365 and Azure environments.
Prompt IA
Create a landscape editorial hero image for this Studio Global article: What did Microsoft reveal about how Storm-2949 used a compromised identity and the Self-Service Password Reset process to breach Microsoft 3. Article summary: Microsoft described Storm-2949 as an identity-based cloud intrusion that did not rely on malware; the actor used a compromised account, abused Self-Service Password Reset, then expanded access across Microsoft 365 and Az. Topic tags: general, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "Hackers Exploit Entra ID Accounts to Steal Microsoft 365, Azure Data. Hackers Abuse Microsoft Entra ID Accounts to Exfiltrate Microsoft 365 and Azure Data. A highly sophisticated c" source context "Hackers Exploit Entra ID Accounts to Steal Microsoft 365, Azure Data" Reference image 2: visual subject "Microsoft S
openai.com
L’incident Storm‑2949, révélé par Microsoft, illustre une évolution majeure des cyberattaques contre les environnements cloud : au lieu d’exploiter des vulnérabilités logicielles ou d’installer des malwares, les attaquants ont utilisé une identité compromise et des services cloud légitimes pour progresser dans Microsoft 365 et Azure.
Avec un seul compte utilisateur compromis, l’acteur malveillant a pu cartographier l’environnement, obtenir davantage de privilèges et accéder à des ressources critiques — tout cela en restant largement sous le radar des outils de sécurité traditionnels.
Une attaque qui commence par la compromission d’une identité
Selon les analyses de Microsoft Threat Intelligence, l’intrusion débute par la prise de contrôle d’un compte utilisateur. Une fois l’accès obtenu, l’attaquant a immédiatement commencé à explorer le tenant Microsoft Entra ID (anciennement Azure AD), qui gère les identités et permissions dans Microsoft 365 et Azure.
Pour cela, il s’est appuyé sur Microsoft Graph API, l’interface officielle qui permet aux applications et aux administrateurs d’interagir avec les données du répertoire (utilisateurs, groupes, rôles, applications).
Microsoft a observé l’utilisation d’un script Python personnalisé permettant d’automatiser des requêtes Graph API afin de :
Studio Global AI
Search, cite, and publish your own answer
Use this topic as a starting point for a fresh source-backed answer, then compare citations before you share it.
Câu trả lời ngắn gọn cho "Storm‑2949 : d’un simple compte compromis à une intrusion à l’échelle du cloud" là gì?
Microsoft indique que l’attaque Storm‑2949 a commencé par la compromission d’une seule identité, utilisée ensuite pour explorer le tenant via l’API Microsoft Graph et identifier des comptes à privilèges élevés.[1][4]
Những điểm chính cần xác nhận đầu tiên là gì?
Microsoft indique que l’attaque Storm‑2949 a commencé par la compromission d’une seule identité, utilisée ensuite pour explorer le tenant via l’API Microsoft Graph et identifier des comptes à privilèges élevés.[1][4] Les attaquants ont abusé du Self‑Service Password Reset et des mécanismes RBAC d’Azure pour étendre leurs accès et atteindre des ressources sensibles comme Key Vault, App Services, bases SQL et machines virtuelles.[4]
Tôi nên làm gì tiếp theo trong thực tế?
L’opération est restée discrète car les acteurs ont utilisé uniquement des outils administratifs légitimes — VMAccess, Run Command et PowerShell — avant d’exfiltrer des données sur plusieurs jours.[4]
rechercher des comptes susceptibles d’avoir des privilèges élevés
analyser les rôles et attributs des identités
Cette phase de reconnaissance a permis à l’attaquant de cartographier l’architecture d’identité de l’organisation et d’identifier les chemins potentiels vers des privilèges plus élevés.
Exploitation du Self‑Service Password Reset
Une technique clé de l’attaque a consisté à exploiter Self‑Service Password Reset (SSPR), la fonctionnalité de Microsoft Entra ID qui permet aux utilisateurs de réinitialiser leur mot de passe sans passer par l’équipe IT.
Après la compromission initiale, les attaquants ont manipulé les mécanismes de récupération d’identité pour renforcer leur accès et le rendre plus persistant à l’intérieur du tenant.
Comme SSPR est une fonctionnalité légitime, son utilisation malveillante peut facilement se fondre dans l’activité normale d’authentification, surtout si les attaquants disposent déjà d’identifiants valides ou de méthodes de récupération enregistrées.
Escalade de privilèges via Microsoft Graph et Azure RBAC
Une fois l’environnement exploré, l’attaquant a cherché à augmenter ses privilèges non pas via des exploits système, mais via les mécanismes de gestion du cloud.
Deux éléments ont joué un rôle central :
Microsoft Graph API, utilisée pour interagir avec les objets du répertoire
Azure RBAC (Role‑Based Access Control), le système qui définit les permissions sur les ressources Azure
En identifiant des comptes et des rôles disposant d’autorisations élevées, l’acteur malveillant a pu étendre progressivement ses capacités administratives et accéder à davantage de services dans l’environnement cloud.
Accès à des ressources Azure sensibles
Après avoir obtenu des privilèges supplémentaires, l’attaquant a accédé à plusieurs types de ressources critiques dans Azure, notamment :
App Services (applications hébergées)
Key Vaults (gestion des secrets et clés cryptographiques)
bases de données SQL
machines virtuelles (VM)
Ces services peuvent contenir des secrets applicatifs, des identifiants, des données métiers ou des charges de production, ce qui en fait des cibles de grande valeur lors d’une intrusion cloud.
L’attaque démontre qu’une compromission d’identité peut rapidement se transformer en accès à l’infrastructure de production, si les permissions et les contrôles d’accès ne sont pas strictement limités.
Une intrusion difficile à détecter
L’un des aspects les plus problématiques de Storm‑2949 est que l’attaquant n’a pas utilisé de malware.
Au lieu de cela, il a exploité des outils administratifs intégrés à Azure, notamment :
VMAccess
Run Command
PowerShell
Ces outils sont régulièrement utilisés par les administrateurs pour gérer des machines virtuelles et des services cloud. Par conséquent, les activités malveillantes peuvent ressembler à des opérations IT normales dans les journaux et les systèmes de surveillance.
Cette stratégie a permis à l’acteur de se déplacer latéralement et d’interagir avec les ressources tout en restant discret.
Exfiltration de données sur plusieurs jours
L’attaque s’est finalement traduite par une exfiltration de données sensibles pendant plusieurs jours depuis l’environnement cloud compromis.
La durée de cette phase suggère que l’attaquant a pu maintenir un accès actif suffisamment longtemps sans déclencher immédiatement les mécanismes de défense de l’organisation.
Pourquoi les attaques basées sur l’identité sont en forte hausse
Storm‑2949 illustre une tendance croissante : dans les environnements cloud modernes, l’identité est devenue la principale surface d’attaque.
Ces intrusions sont difficiles à détecter pour plusieurs raisons :
utilisation d’identifiants valides
accès via des API officielles
élévation de privilèges via les systèmes de permissions natifs
utilisation d’outils d’administration légitimes
Lorsque les attaquants opèrent entièrement à l’intérieur des services de confiance du cloud, les solutions de sécurité traditionnelles centrées sur les postes ou les malwares peuvent ne rien signaler.
Les recommandations de sécurité de Microsoft
Pour limiter le risque d’attaques similaires, Microsoft recommande de renforcer la sécurité autour des identités et du plan de contrôle du cloud.
Renforcer la protection des identités
Mettre en place des contrôles d’authentification solides afin qu’un seul compte compromis ne puisse pas conduire à une compromission du tenant entier.
Sécuriser le Self‑Service Password Reset
Examiner attentivement la configuration SSPR, en particulier pour les comptes à privilèges élevés.
Activer MFA et l’accès conditionnel
L’authentification multifacteur et les politiques d’accès conditionnel réduisent fortement l’impact des identifiants volés.
Surveiller l’activité de l’API Microsoft Graph
Les équipes de sécurité doivent détecter les requêtes d’énumération massives ou automatisées pouvant indiquer une reconnaissance interne.
Auditer les permissions Azure RBAC
Limiter les privilèges au strict nécessaire afin de réduire les chemins d’escalade.
Surveiller l’usage des outils administratifs
Détecter les usages inhabituels de VMAccess, Run Command ou PowerShell dans des environnements où ces outils sont rarement utilisés.
Protéger les ressources Azure critiques
Appliquer des contrôles d’accès stricts et une surveillance renforcée sur Key Vault, bases de données, machines virtuelles et environnements de production.
La leçon principale de l’attaque Storm‑2949
L’incident montre clairement que contrôler une identité peut suffire à contrôler une grande partie d’un environnement cloud. Une fois dans le système, un attaquant peut utiliser les API, les rôles et les outils administratifs pour progresser sans déployer de malware.
Pour les équipes de sécurité, cela signifie que la défense ne peut plus se limiter aux endpoints. Elle doit inclure une visibilité approfondie sur le comportement des identités, l’utilisation des API, les privilèges et les activités du plan de contrôle du cloud.
toriihq.com
3 Ways to Change User Passwords in Microsoft 365 in 2026 | Torii
