Microsoft: Storm-0940 применила ИИ-агентов в атаке на ConnectWise

Связанная с Китаем хакерская группа Storm-0940 использовала ИИ-агентов, чтобы проникнуть в сервис ConnectWise Cloud Backup и добраться до аккаунтов клиентов в Microsoft 365. Об этом сообщает Microsoft: Microsoft Threat Intelligence опубликовала выводы 21 октября. ConnectWise раскрыла взлом в бюллетене безопасности 16 октября, в тот же день первый разбор атаки выпустила компания Huntress, как пишет The Next Web.

Как проходила атака

ConnectWise Cloud Backup, ранее SkyKick, позволяет ИТ-провайдерам делать резервные копии данных клиентов в Microsoft 365. Сервис опирается на приложения с широким доступом к аккаунтам, поэтому их идентификаторы становятся удобной точкой входа. По данным Microsoft, Storm-0940 скомпрометировала несколько таких идентификаторов, получила доступ к клиентским аккаунтам, а в ряде случаев добавляла новые ключи аутентификации и меняла роли администраторов, чтобы закрепиться.

Группа применяла ARTEX — бесплатный инструмент с открытым кодом на основе ИИ-агентов, работающий с разными моделями. Подобные средства используют и специалисты по безопасности для проверки собственных систем. По словам Microsoft, агенты сканировали сети, подбирали пароли и эксплуатировали разрешения приложений при минимальном участии человека. Какая ИИ-модель использовалась, компания не назвала.

Storm-0940 пыталась войти более чем в 2250 тенантов Microsoft 365, до 2900 попыток в минуту. Большинство попыток провалилось, но в некоторых случаях группа получала расширенный доступ к облаку за три часа. Microsoft сообщает, что группа действует с 2021 года и атакует оборонный, государственный, юридический, энергетический и полупроводниковый секторы.

Последствия и реакция

К 16 октября Huntress подтвердила взломы в 162 тенантах, позже обнаружила почти 1000 тенантов с попытками входа, более 300 из них успешных. 17 октября ConnectWise отключила семь идентификаторов приложений и вывела Cloud Backup из работы. Публично на атрибуцию Microsoft компания не ответила; представитель сказал The Record, что «нет признаков» компрометации резервных данных.

Microsoft подчёркивает, что причиной не стала уязвимость в её собственных системах. Клиентам советуют держать интеграции ConnectWise отключёнными, пока компания не подтвердит безопасное восстановление, и проверить журналы входа минимум с 15 октября. С 21 октября ConnectWise поэтапно восстанавливает сервис и ожидает, что это займёт несколько дней.