Hackeri chinezi folosesc agenți AI pentru a sparge ConnectWise

Cum au accelerat AI-urile mișcarea laterală?

Microsoft a dezvăluit că grupul de amenințări Storm-0940, aliat cu China, a utilizat agenți de inteligență artificială pentru a compromite serviciul de backup în cloud al ConnectWise. Această intruziune sofisticată a creat o cale directă pentru atacatori spre conturile Microsoft 365 ale clienților. Gigantul tehnologic a publicat detaliile investigației pe 21 octombrie, după ce ConnectWise și firma de securitate Huntress au identificat breșul pe 16 octombrie.

Atacul evidențiază o tendință în creștere: adversarii folosesc instrumente automate pentru a accelera timpul de intruziune.

Prin utilizarea agenților AI, hackerii au putut procesa date și executa task-uri mult mai repede decât în operațiunile tradiționale conduse de oameni. Această abordare le-a permis să navigheze eficient prin infrastructura complexă a furnizorului de backup. Grupul a vizat configurații specifice din serviciu pentru a-și stabili accesul persistent.

Odată în interior, s-au mișcat lateral în rețea pentru a ajunge la credențialele sensibile ale utilizatorilor.

Storm-0940 a demonstrat o capacitate nouă, integrând automatizarea condusă de AI în lanțul lor de ucideri (kill chain). Acești agenți i-au ajutat pe grup să identifice vulnerabilități și să exploateze erori de configurare, fără intervenție manuală semnificativă.

Utilizarea unei astfel de tehnologie reduce fereastra de detecție pentru apărători. Atacatorii pot scala acum operațiunile, menținând un profil mai scăzut. Microsoft a notat că această metodă reprezintă o schimbare în modul în care grupurile susținute de state conduc campanii de spionaj.

Dependența de modele de învățare automată permite o adaptare rapidă la controalele de securitate. Dinamică aceasta face mai dificil pentru echipele IT să urmărească întregul scop al compromisului.

Breșul a afectat specific componenta Cloud Backup din platforma ConnectWise.

De unde au pornit atacatorii în serviciul de backup?

Acest serviciu este folosit pe scară largă de întreprinderile mici și mijlocii pentru stocarea datelor critice. Când infrastructura de backup este compromisă, integritatea fișierelor stocate devine o problemă. Atacatorii au obținut acces suficient pentru a extrage tokeni de autentificare.

Acești tokeni le-au permis să se logheze direct în mediile Microsoft 365 ale clienților. Lanțul de custodie al credențialelor furate rămâne o preocupare majoră pentru organizațiile afectate.

Punctul inițial de intrare a implicat manipularea software-ului agent de backup. Actorii malițioși au injectat cod care permitea execuția la distanță pe mașinile clienților. De acolo, agenții AI au scanat cheile API expuse și tokenii de sesiune. Au recoltat aceste secrete pentru a falsifica cereri valide către platforma de identitate Microsoft. Această tehnică a ocolit verificările standard de autentificare multi-factor în unele cazuri. Viteza operațiunii a fost un factor cheie în evitarea sistemelor de monitorizare în timp real.

Apărătorii se confruntă adesea cu dificultăți în corelarea evenimentelor când acestea se produc la viteză de mașină.

Consecințele acestui incident se extind dincolo de expunerea imediată a datelor. Organizațiile trebuie acum să auditeze riguros integrările lor de backup în cloud.

Încrederea în furnizorii terți de servicii necesită o verificare strictă a practicilor de securitate. Perspectivele pentru viitor sugerează o adoptare crescută a AI atât de atacatori, cât și de apărători. Companiile ar trebui să se pregătească pentru intruziuni mai frecvente și automatizate.

Testele regulate de penetrare și monitorizarea continuă rămân apărări esențiale. Industria trebuie să își adapteze strategiile de Ce trebuie să știe clienții acum? Toți clienții ConnectWise și-au pierdut datele?

Nu neapărat. Breșul a expus în principal tokeni de autentificare și puncte de acces. Clienții trebuie să verifice dacă conturile lor specifice au fost accesate în fereastra incidentului.

Când a detectat firma de securitate Huntress problema? Huntress a identificat breșul pe 16 octombrie. Aceasta a coincis cu eliberarea de către ConnectWise a avizului oficial de securitate pentru a notifica clienții.