Aktuell | Security | c't | heise magazine

Herkunft von Microsofts geklauten Schlüssel geklärt

In einer Analyse hat Microsoft eruiert, wie die Hackergruppe Storm-0558 an den Generalschlüssel zur Microsoft-Cloud gelangten.

Microsoft geht in einer neuen Analyse der Frage nach, wie die mutmaßlich chinesische Hackergruppe Storm-0558 den Generalschlüssel zur Microsoft Cloud in die Hände bekam. Mit diesem hatte die Hackergruppe absolute Narrenfreiheit: Sie konnten Zugangstokens zu Clouddiensten ausstellen und damit unter anderem Mails von Regierungsbehörden auslesen (siehe c’t 19/2023, S. 14). Mitte Juni sperrte Microsoft die Nutzung des Schlüssels.

Nun hat Microsoft bekannt gegeben, dass die Herkunft des Schlüssels geklärt sei: Schuld sei ein sogenannter Crash Dump gewesen. Wenn eine Anwendung abstürzt, werden deren Speicher in eine Datei geschrieben. Das geschah laut der Analyse von Microsoft (siehe ct.de/ymbt) im April 2021 in einer abgesicherten Produktionsumgebung für Mitarbeiter, die sehr hohe Sicherheitsstandards vorschreibt. Nach einem Absturz auf dem Consumer-Signing-System landete der Schlüssel in einem solchen Crash Dump. Üblicherweise darf das mit sensiblen Daten wie dem Schlüssel nicht passieren, aber aufgrund eines Speicherzugriffskonflikts (Race Condition) passierte es trotzdem. Als zur Analyse des Vorfalls die Datei ins weniger gut geschützte reguläre Firmen-Netzwerk verschoben wurde, schlugen Kontrollmechanismen nicht Alarm.