Microsoft heeft door middel van een gerechtelijk bevel van een Amerikaanse rechter meerdere domeinen van een spionagegroep in beslag genomen die volgens het techbedrijf vanuit China opereert. Microsoft noemt de groep Nickel, maar die staat ook bekend KeC\ang, APT15, APT25, Vixen Panda, Royal APT en Playful Dragon. De groep is volgens Microsoft sinds 2016 actief, maar de huidige operaties vinden sinds september 2019 plaats en zijn gericht tegen overheidsinstellingen, denktanks en mensenrechtenorganisaties in 29 landen. Daarbij hebben de aanvallers het vooral voorzien op het verzamelen van inlichtingen.

Voor het uitvoeren van de aanvallen maakt de groep gebruik van spearphishing, gestolen inloggegevens van Microsoft 365-accounts en bekende kwetsbaarheden in Exchange Server, SharePoint en vpn-oplossingen zoals Pulse Secure VPN. Voor zover bekend maakt de groep geen gebruik van zerodaylekken. Zodra er toegang tot systemen is verkregen installeren de aanvallers lastig te detecteren malware voor surveillance en datadiefstal, stelt Microsoft.

Op 2 december stapte Microsoft naar een Amerikaanse rechter met het verzoek om domeinen in beslag te nemen die de groep bij de aanvallen gebruikt. De rechter gaf Microsoft hiervoor toestemming, waarop het techbedrijf de domeinen in beslag nam. Hierdoor heeft Microsoft onder andere zicht op de al door Nickel gemaakte slachtoffers en tactieken van de groep.

"Onze actie zal er niet voor zorgen dat Nickel geen nieuwe aanvallen meer uitvoert, maar we denken dat we een belangrijk onderdeel van de infrastructuur hebben verwijderd waar de groep bij de laatste aanvallen gebruik van maakte", zegt Microsofts Tom Burt. Microsoft zal getroffen organisaties informeren dat ze zijn geïnfecteerd. Slachtoffers van de groep bevinden zich onder andere in Frankrijk, Hongarije, Italië, Portugal, Zwitserland, het Verenigd Koninkrijk en de Verenigde Staten.

Om aanvallen door Nickel te voorkomen adviseert Microsoft onder andere het blokkeren van legacy authenticatieprotocollen in Azure Active Directory, het inschakelen van multifactorauthenticatie om misbruik van gecompromitteerde inloggegevens te voorkomen, Exchange Online policies te controleren en verkeer van anonimiseringsdiensten te blokkeren.

De afgelopen jaren heeft Microsoft via 24 rechtszaken, waarvan vijf tegen statelijke actoren, in totaal meer dan tienduizend door cybercriminelen gebruikte domeinnamen en bijna zeshonderd door statelijke actoren gebruikte domeinnamen uit de lucht gehaald. Verder heeft het techbedrijf naar eigen zeggen de registratie van bijna 600.000 domeinen voor toekomstige criminelen activiteiten geblokkeerd.