Нападатели използваха доверени приложения на американски доставчик на облачно архивиране, за да атакуват хиляди клиентски системи и да получат привилегирован достъп в рамките на часове
Хакерска група, свързана с китайския режим, е използвала инструмент с изкуствен интелект (AI), за да ускори кибератаки срещу стотици организации по света, включително при атака срещу американската технологична компания ConnectWise, съобщи Microsoft на 21 октомври.
Microsoft преписа компрометирането на данните за достъп до приложението Cloud Backup на ConnectWise на Storm-0940 – хакерска група, свързана с китайската държава, която компанията следи от 2021 г. Откраднатите данни за достъп са позволили на нападателите да използват достъпа, който клиентите, ползващи облачните услуги на Microsoft, вече са предоставили на приложенията на ConnectWise.
Хакерите са използвали ARTEX – разработен в Китай AI инструмент за тестване на сигурността – за да автоматизират атаки срещу държавни агенции, военни подизпълнители, финансови институции, технологични компании и други организации, съобщи Microsoft.
В редица случаи групата е получила привилегирован достъп до облачните системи на организации по-малко от три часа след като първоначално ги е набелязала.
ConnectWise реагира на атаката
ConnectWise потвърди неоторизиран достъп до данни за достъп, свързани с нейната услуга Cloud Backup, по-рано известна като SkyKick.
В актуализация от 25 октомври компанията заяви, че съществуващите ѝ архиви са останали криптирани, изолирани и запазени, без признаци да са били компрометирани. Тя също така съобщи, че няма данни да са засегнати други продукти или услуги на ConnectWise.
Проникването е нарушило достъпа до Cloud Backup, докато ConnectWise и външни специалисти са разследвали инцидента и са работили по възстановяването на услугите.
ConnectWise е планирала да започне да позволява на партньорите да възстановяват данни от съществуващите архиви на 26 октомври, след което да започне поетапното повторно включване в услугата.
Компанията е посъветвала клиентите да държат засегнатите връзки с приложенията деактивирани, докато не получат указания за възстановяване, и да проверят средите си в Microsoft 365 за неоторизирана активност.
Как са действали атаките с помощта на AI
ConnectWise предоставя технологии на доставчици на IT услуги, които управляват компютърните системи на други предприятия.
Приложенията Cloud Backup вече са били упълномощени да имат достъп до средите на клиентите в Microsoft 365. След като са получили данните за достъп на приложенията, хакерите са могли да опитат да влязат, без да е необходимо служители да влизат в системата или да одобряват нови заявки.
Според Microsoft Storm-0940 е използвала ARTEX за автоматизиране на сканирането, опитите с пароли и злоупотребата с разрешенията, предоставени на компрометираните приложения.
Групата е направила опити да влезе в над 2250 клиентски облачни среди чрез компрометираните приложения на ConnectWise. Тази цифра представлява опити за достъп, а не потвърдени пробиви.
В множество организации нападателите са получили привилегирован достъп. Microsoft е наблюдавала как те проверяват облачни ресурси, променят данните за достъп до приложенията и се опитват да изменят разрешенията.
Подобни промени биха могли да позволят на нападателите да запазят достъпа си дори след деактивирането на първоначално компрометираните данни за достъп. Microsoft заяви, че успешният достъп не означава непременно, че са били откраднати клиентски данни.
ARTEX беше идентифициран и при атаки срещу южнокорейски финансови институции и японски компании. Японски разследващи откриха ARTEX на шест сървъра в чужбина, насочени срещу около 80 предприятия. Microsoft не посочи Storm-0940 като отговорна за тези по-ранни атаки.
Първоначално разработен, за да помага на специалистите по сигурността да проверяват компютърните системи за слабости, ARTEX използва AI, за да планира операции, да управлява други инструменти и да търси различни начини за проникване в мрежа с ограничена човешка намеса.
Microsoft заяви, че автоматизацията е позволила на Storm-0940 да извършва операции едновременно и да използва откраднатите данни за достъп с висока скорост.
„Скоростта на тази дейност оставя на защитниците много малко време да реагират на тези сигнали“, написаха изследователите на Microsoft.
Въпреки че повечето опити за проникване са се провалили, Microsoft съобщи, че групата е установила привилегирован достъп, който може да се запази в много организации. В някои засегнати среди нападателите са променили данните за достъп и разрешенията на приложенията, което потенциално позволява неоторизираният достъп да продължи дори след като първоначално компрометираното приложение бъде защитено.
Реакции на разработчика и компаниите
Създателят на ARTEX, който използва онлайн името Autumn-27, осъди злоупотребата с инструмента в публично изявление от 8 октомври и отрече участие в съобщените атаки. Разработчикът обяви, че проектът повече няма да получава публични актуализации и поддръжка и ще премине към затворен код.
Китайската компания за киберсигурност ThreatBook заяви в съобщение от 16 октомври, че ARTEX първоначално е бил личен проект на ръководителя на продукта RedAgents. Компанията призна, че версията с отворен код е била използвана неправомерно при сериозни инциденти със сигурността във финансовия сектор и не е разполагала с вградени механизми за сигурност.
The Epoch Times се обърна към ThreatBook, Microsoft и ConnectWise за допълнителен коментар относно новите констатации. Никоя от тях не отговори до публикуването на материала. С разработчика на ARTEX не можа да бъде осъществен контакт за коментар.
