A Microsoft kutatói szerint Kínához kötődő hackercsoportok feltörték a ConnectWise felhőmentési szolgáltatását, ellopták a szolgáltatás és ügyfelei közötti adatkapcsolatok létrehozásához használt alkalmazás-hitelesítő adatokat, és ezeken keresztül megfigyelési hozzáférést szereztek mintegy 2 250 szervezet Microsoft-hostolt környezetéhez.
Mi történt
A támadók a ConnectWise felhőalapú mentési rendszerének feltörésével szerezték meg azokat a bejelentkezési adatokat, amelyek lehetővé teszik a ConnectWise és ügyfelei közötti adatkapcsolat létrehozását. A megszerzett hitelesítő adatok birtokában a hackerek úgy tudtak belépni az érintett cégek Microsoft-hostolt rendszereibe, mintha jogosult felhasználók lennének, és hozzáfértek e-mailekhez és egyéb fájlokhoz.
Gyorsaság és módszer
A Microsoft szerint a támadók mesterséges intelligencia (AI) ügynököket használtak, amelyekkel rendkívül gyorsan próbáltak meg bejelentkezni — közel 3 000 bejelentkezési kísérletet percenként. Ennek eredményeként körülbelül 2 250 szervezet környezetébe törték be a rendszereket, miközben a nagy sebesség kevés időt hagyott a védekezésre észlelésre vagy beavatkozásra.
A támadás gyorsításához használt AI-eszköz a nyílt forráskódú ARTEX keretrendszer volt, amely AI modellekkel együtt dolgozva képes a kibervédelmi mechanizmusok „stressztesztelésére”. A Microsoft felhívta a figyelmet, hogy ugyanazt az ARTEX szoftvert korábban egy dél-koreai pénzügyi rendszerek elleni támadásnál is használták, ahol sok rendszer gyenge védettséggel rendelkezett és hiányzott a többtényezős hitelesítés.
Vállalati reakció
A ConnectWise közölte, hogy felfüggesztette a hozzáférést a felhőmentési rendszeréhez és vizsgálatot indított a feltörés ügyében. A vállalat azt is közölte, hogy csütörtökig dolgozott a szolgáltatás helyreállításán.
Miért számít ez
A történet két okból fontos: egyrészt mert egy harmadik fél szolgáltatásának feltörése sok, egymástól független szervezet biztonságát veszélyezteti egyszerre; másrészt mert az AI-alapú támadások nagysebességű, automatizált módszereket hoznak a kiberbűnözésbe, amelyek csökkentik a védekezők reagálási idejét. A korábbi esetekből is látható, hogy hiányos biztonsági gyakorlatok — például a többtényezős hitelesítés hiánya — különösen sebezhetővé teszik a rendszereket.
Következő lépések
A vizsgálat és a helyreállítás folyamatban van: ConnectWise vizsgálja az incidens körülményeit és dolgozik a szolgáltatás visszaállításán, míg a Microsoft részletesebb technikai elemzéseket tett közzé a támadás módszereiről, hogy segítsen a szervezeteknek felismerni és védekezni az ilyen típusú, AI-gyorsította behatolások ellen.
(Közlemények és szakértői megállapítások a Microsoft és a ConnectWise állításaira épülnek.)
