答案已发布2个月前Last edited 上个月12 来源

Storm‑2949：一次账号被盗如何演变成席卷Microsoft 365与Azure的云端入侵

微软披露，Storm‑2949攻击从一个被攻陷的身份账户开始，攻击者通过Microsoft Graph API枚举租户目录，并滥用Self‑Service Password Reset（SSPR）扩大访问权限。[1][4] 攻击者随后利用Azure RBAC和云控制平面权限提升，访问App Services、Key Vault、SQL数据库和虚拟机，并使用VMAccess、Run Command和PowerShell等合法管理工具隐藏活动。[4] 微软建议企业强化身份安全，包括加强MFA与条件访问、审计RBAC权限、监控Graph API异常枚举行为，以及严格保护SSPR配置，以防类似身份驱动的云攻击。[4]

使用 Studio Global AI 搜索并核查事实浏览更多热门页面

Illustration of a cloud security breach where a compromised identity spreads across Microsoft 365 and Azure services — What did Microsoft reveal about how Storm-2949 used a compromised identity and the Self-Service Password Reset process to breach Microsoft 3Storm‑2949 used identity compromise and legitimate cloud management tools to move through Microsoft 365 and Azure environments.
AI 提示
Create a landscape editorial hero image for this Studio Global article: What did Microsoft reveal about how Storm-2949 used a compromised identity and the Self-Service Password Reset process to breach Microsoft 3. Article summary: Microsoft described Storm-2949 as an identity-based cloud intrusion that did not rely on malware; the actor used a compromised account, abused Self-Service Password Reset, then expanded access across Microsoft 365 and Az. Topic tags: general, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "Hackers Exploit Entra ID Accounts to Steal Microsoft 365, Azure Data. Hackers Abuse Microsoft Entra ID Accounts to Exfiltrate Microsoft 365 and Azure Data. A highly sophisticated c" source context "Hackers Exploit Entra ID Accounts to Steal Microsoft 365, Azure Data" Reference image 2: visual subject "Microsoft S
openai.com

微软近期披露的 Storm‑2949 云入侵事件 表明，在现代云环境中，攻击者往往不再依赖恶意软件，而是直接利用身份系统和合法管理工具完成整个攻击链。

在这次事件中，攻击者只需控制 一个账户身份，就逐步扩大权限，最终访问 Microsoft 365 与 Azure 中的关键资源并持续窃取数据。

从单个被盗账号开始

微软威胁情报团队表示，这次攻击始于 身份账户被接管（identity takeover）。获得初始账户访问后，攻击者立即开始在受害组织的 Microsoft Entra ID 租户目录中进行侦察。

他们使用 Microsoft Graph API——这是微软云平台用于访问用户、应用、组和权限数据的官方接口——对目录进行大规模枚举。

微软观察到攻击者使用 自定义 Python 脚本 自动化发送 Graph API 请求，以批量获取：

用户账户
应用程序
角色和权限信息

这些查询还会根据 用户名模式和角色属性 搜索可能拥有高权限的账户，从而为后续权限提升寻找路径。

滥用自助密码重置（SSPR）扩大访问

在攻击过程中，一个关键步骤是 滥用 Self‑Service Password Reset（SSPR） 功能。

Studio Global AI

Search, cite, and publish your own answer

Use this topic as a starting point for a fresh source-backed answer, then compare citations before you share it.

使用 Studio Global AI 搜索并核查事实

人们还问