Главное в материале

  • Группировка Storm-0940, по данным Microsoft, действовала с 2021 года и использовала открытый ИИ-фреймворк ARTEX для автоматизации атак.
  • Скорость атак достигала почти 3000 попыток входа в минуту; в ряде случаев доступ к облачным системам получали менее чем за три часа.
  • ConnectWise отключила затронутые подключения и поэтапно восстанавливает сервис; механизм утечки учётных данных остаётся под расследованием.

Атака с использованием ИИ

Microsoft в среду, 22 октября, сообщила, что хакерская группировка, связанная с китайским государством, использовала инструмент тестирования безопасности на базе искусственного интеллекта в кампании, в ходе которой была скомпрометирована ИТ-компания ConnectWise. Атака была направлена на сотни организаций по всему миру, включая государственные структуры, оборонный сектор, энергетику, финансовые услуги и технологические компании. Microsoft связывает активность с группировкой Storm-0940, которая, по её данным, действует с 2021 года.

Роль ARTEX и масштаб атак

Злоумышленники применяли ARTEX — открытый фреймворк для пентестов, подключаемый к ИИ-моделям для автоматизации задач: от поиска уязвимостей до кражи данных. Хотя пентесты обычно используются для оценки защищённости, Microsoft заявила, что атакующие задействовали фреймворк для ускорения своих операций. По данным TechCrunch со ссылкой на Microsoft, с помощью ИИ-агентов хакеры взломали около 2250 организаций со скоростью почти 3000 попыток входа в минуту; такая скорость, отметила Microsoft, оставляет защитникам «мало времени на обнаружение и реагирование». В ряде случаев атакующие получали высокий уровень доступа к облачным системам менее чем за три часа после выбора цели. Большинство попыток провалились, но группировка закрепилась во многих организациях. Microsoft уточнила, что успешные входы не обязательно означали доступ к данным клиентов или их кражу. По данным TechCrunch, тот же ИИ-инструмент недавно использовался при компрометации финансовых систем Южной Кореи, многие из которых имели слабую защиту и не использовали многофакторную аутентификацию.

Механизм взлома и реакция ConnectWise

По данным Microsoft, хакеры проникли в облачный сервис резервного копирования ConnectWise (Cloud Backup, ранее известный как SkyKick) и похитили учётные данные приложений, используемые для связи между ConnectWise и корпоративными клиентами. С их помощью злоумышленники могли входить в Microsoft-среды клиентов как авторизованные пользователи и получать доступ к почте и файлам. ConnectWise сообщила, что её данные, включая разведданные Microsoft, указывают на причастность связанной с китайским государством группировки к атаке на Cloud Backup. Компания отключила затронутые подключения приложений и начала поэтапное восстановление сервисов после проверок безопасности. Однако она предупредила, что эти меры не устранят потенциальный несанкционированный доступ внутри отдельных клиентских сред Microsoft 365, которые требуют отдельного расследования. В обновлении в четверг ConnectWise сообщила, что восстановление займёт несколько дней, а существующие резервные архивы остаются зашифрованными, изолированными и сохранёнными, без признаков компрометации. Компания призвала клиентов держать затронутые подключения отключёнными до официальных инструкций по переподключению.

Нерешённые вопросы и позиция Китая

ConnectWise заявила, что первоначальный механизм утечки учётных данных остаётся предметом расследования; установить, способствовала ли инциденту уязвимость продукта, пока не удалось. Посольство Китая в Вашингтоне отвергло обвинения в адрес Пекина, заявив, что Китай выступает против хакерства и считает такие обвинения попытками очернить страну.