Microsoft-მა ConnectWise-ის ჰაკერული თავდასხმა ჩინეთთან დაკავშირებულ ჯგუფს დაუკავშირა

Microsoft-მა ოთხშაბათს, 21 ოქტომბერს განაცხადა, რომ Storm-0940 იდგა ConnectWise Cloud Backup-ის ბოლოდროინდელი კომპრომეტირების უკან. Microsoft-ი Storm-0940-ს აღწერს, როგორც ჩინეთის სახელმწიფოსთან დაკავშირებულ საფრთხის შემცველ აქტორს. კომპანიის თქმით, ჯგუფმა გამოიყენა აგენტური AI შეღწევადობის ტესტირების ჩარჩო, სახელად ARTEX, თავდასხმების ავტომატიზაციისთვის და "Storm-0940-მა გამოიყენა ARTEX 2,250-ზე მეტ დამქირავებელთან წვდომისთვის, წუთში 2,900 შესვლის მცდელობით, რაც დამცველებს რეაგირებისთვის ძალიან ცოტა დროს უტოვებს," წერს Microsoft Threat Intelligence.microsoft.com

ეს არის ინციდენტის პირველი საჯარო ატრიბუცია. ოთხშაბათამდე არც ConnectWise-ს და არც გარე მკვლევრებს თავდასხმები ცნობილი ჯგუფისთვის არ დაუკავშირებიათ.cyberscoop.com

AI მანქანური სიჩქარით

Microsoft-ის თქმით, Storm-0940 აქტიურია 2021 წლიდან და მონაცემებს იპარავს მრავალი ინდუსტრიიდან. 2026 წლის სექტემბრიდან მოყოლებული, მან ARTEX გამოიყენა ასობით ორგანიზაციის წინააღმდეგ. სამიზნეებს შორის იყო აეროკოსმოსური და თავდაცვის სექტორი, მთავრობა, ფინანსური მომსახურება, ნახევარგამტარების ფირმები და ანალიტიკური ცენტრები. Microsoft-ის თანახმად, რამდენიმე შემთხვევაში ჯგუფმა პრივილეგირებული ღრუბლოვანი წვდომა სამიზნეზე თავდასხმიდან სამ საათზე ნაკლებ დროში მოიპოვა.microsoft.com

ARTEX არის ღია კოდის მქონე და მუშაობს ნებისმიერ AI მოდელთან. Microsoft-ი მას უწოდებს "LLM-ზე დაფუძნებული აგენტების სისტემას, რომელიც ახორციელებს ავტონომიურ შეღწევადობის ტესტს დაზვერვიდან მონაცემთა ექსფილტრაციამდე, ადამიანის მინიმალური ჩარევით." კომპანიამ განაცხადა, რომ საფრთხის შემცველი აქტორები რამდენიმე რეგიონში იყენებენ მას.cyberscoop.com

Microsoft-მა დაადგინა პაროლების მასობრივი გამოცნობის კამპანია, რომელიც 10-დან 14 ოქტომბრამდე მიმდინარეობდა და იმავე ინფრასტრუქტურას უკავშირდებოდა. მან მიზანში ამოიღო 327 ანგარიში რვა ორგანიზაციაში და დააფიქსირა 151,000-ზე მეტი წარუმატებელი შესვლა, თუმცა არცერთი არ ყოფილა წარმატებული. 15 ოქტომბერს AI აგენტები შევიდნენ მომხმარებელთა დამქირავებლებში მოპარული ConnectWise აპლიკაციის რწმუნებათა სიგელების გამოყენებით. ზოგიერთ გარემოში მათ განაგრძეს დაზვერვა, აპლიკაციის რწმუნებათა სიგელების შეცვლა და პრივილეგირებული როლების მოდიფიცირება, განაცხადა Microsoft-მა.microsoft.com

შედეგები მომხმარებლებისთვის

თავდამსხმელმა გამოიყენა მრავალ-დამქირავებლიანი სარეზერვო აპლიკაციის (ყოფილი SkyKick) კომპრომეტირებული რწმუნებათა სიგელები Microsoft Graph-ის ტოკენების მისაღებად, მომხმარებლის ავტორიზაციის გარეშე. ეს ნიშნავდა, რომ მრავალფაქტორიანმა ავთენტიფიკაციამ ვერ შეაჩერა იგი. Huntress-მა დაადასტურა არაავტორიზებული შესვლები 162 დამქირავებელთან. 17 ოქტომბერს ConnectWise-მა გათიშა შვიდი აპლიკაციის იდენტიფიკატორი და შეაჩერა Cloud Backup, SaaS Security და Cloud Management სერვისები. კომპანიამ განაცხადა, რომ არ აქვს მტკიცებულება იმისა, რომ სარეზერვო არქივები კომპრომეტირებული იყო.csoonline.com+2

ოთხშაბათს ConnectWise-მა განაცხადა, რომ დაიწყო სერვისების ეტაპობრივი აღდგენა და ელოდება, რომ აღდგენას რამდენიმე დღე დასჭირდება. მან ასევე ურჩია მომხმარებლებს, ჯერჯერობით გამორთული დატოვონ თავიანთი კავშირები.cyberscoop.com

უპასუხო კითხვები

Microsoft-ს არ უთქვამს, რამდენი ორგანიზაცია დაზარალდა. მან ასევე აღნიშნა, რომ წარმატებული შესვლა "აუცილებლად არ ნიშნავს იმას, რომ მომხმარებლის მონაცემებზე წვდომა მოხდა ან ისინი იქნა გატანილი." თუმცა, კომპანიამ გააფრთხილა, რომ აგენტების მიერ განხორციელებული რწმუნებათა სიგელების ცვლილებები შესაძლოა დარჩეს როგორც "უკანა კარი" ორიგინალი აპლიკაციის გამოსწორების შემდეგაც.microsoft.com

Microsoft-ის აღმასრულებელმა ვიცე-პრეზიდენტმა იგორ ციგანსკიმ LinkedIn-ის პოსტში განაცხადა, რომ "ოქტომბრის დასაწყისიდან მიმდინარეობს AI-ზე დაფუძნებული კიბერშეტევების ტალღა." მან ConnectWise-ის თავდასხმას "მრავალთაგან ერთ-ერთი" უწოდა.cyberscoop.com