Microsoft: ConnectWise uzlauzumā ar Ķīnu saistīti hakeri izmantoja MI aģentus

Microsoft drošības pētnieki paziņojuši, ka par oktobra vidū atklāto IT pārvaldības uzņēmuma ConnectWise mākoņa dublēšanas pakalpojuma uzlaušanu atbildīga ar Ķīnas valsti saistīta grupa, ko Microsoft dēvē par Storm-0940. Pēc uzņēmuma datiem, uzbrucēji ar nozagtiem lietotņu akreditācijas datiem mēģināja pieslēgties vairāk nekā 2250 klientu Microsoft 365 vidēm, turklāt darbu lielā mērā paveica automatizēti MI aģenti.

Uzbrukuma būtība ir piegādes ķēdes kompromitēšana. ConnectWise Cloud Backup un citas uzņēmuma lietotnes klientu Microsoft 365 vidēs jau bija saņēmušas plašas piekļuves atļaujas, lai varētu dublēt e-pastus un failus. Iegūstot šo lietotņu identitātes, uzbrucējiem nevajadzēja nevienas konkrētas personas paroli: viņi varēja pieslēgties kā uzticama lietotne un piekļūt datiem, ko klienti paši bija tai atļāvuši.

Ātrumu, pēc Microsoft teiktā, nodrošināja ARTEX, atvērtā koda ielaušanās testēšanas ietvars, kurā vairāki valodas modeļu vadīti aģenti paši veic izlūkošanu, paroļu minēšanu un datu izgūšanu. Reizēm tika veikti līdz 2900 pieslēgšanās mēģinājumiem minūtē, un dažos gadījumos no mērķa izvēles līdz priviliģētai piekļuvei mākonī pagāja mazāk nekā trīs stundas. Microsoft uzsver, ka tāds temps aizsargiem atstāj ļoti maz laika reaģēt.

Lielākā daļa mēģinājumu bija neveiksmīgi, tomēr daudzās organizācijās uzbrucējiem izdevās nostiprināties: viņi pievienoja lietotnēm jaunus akreditācijas datus un mēģināja mainīt tiesības, kas var ļaut saglabāt piekļuvi arī pēc tam, kad sākotnējās atslēgas ir atsauktas. Microsoft nav atklājis, cik klientu tika reāli kompromitēti, un norāda, ka veiksmīga pieslēgšanās pati par sevi vēl nenozīmē, ka dati ir nozagti. Drošības uzņēmums Huntress izdevumam CRN sacīja, ka redzējis ļaunprātīgu aktivitāti vairāk nekā 1000 vidēs, no kurām vairāk nekā 300 pieslēgšanās šķietami izdevās.

Pirms tam, no 10. līdz 14. oktobrim, tā pati infrastruktūra veica paroļu minēšanas kampaņu pret 327 kontiem astoņās organizācijās, reģistrējot vairāk nekā 151 000 neveiksmīgu pieteikšanos, taču Microsoft neviena veiksmīga pieslēgšanās šajā posmā nav konstatēta. Pirmie publiskie ziņojumi par ConnectWise uzlaušanu parādījās 15. oktobrī, bet uzņēmuma pirmais brīdinājums tika publicēts 16. oktobrī.

ConnectWise savā drošības centrā apstiprinājis, ka, pamatojoties arī uz Microsoft sniegto informāciju, uzbrukumu veikusi ar Ķīnas valsti saistīta grupa. Uzņēmums skartos savienojumus ir atslēdzis un pakalpojumus atjauno pakāpeniski, taču brīdina, ka tas automātiski nenovērš piekļuvi, kas uzbrucējiem jau varētu būt izveidojusies klientu vidēs. Partneriem ieteikts turēt skartos savienojumus atslēgtus līdz oficiāliem norādījumiem.

Microsoft iesaka uzņēmumiem, kuru vidēs ir vai bijušas ConnectWise lietotnes, pārskatīt pakalpojumu kontu pieslēgšanās un auditu žurnālus vismaz no 15. oktobra, meklēt neparedzētas tiesību un akreditācijas datu izmaiņas un nedzēst lietotnes, pirms saglabāti pierādījumi. Šī ir jau otrā nopietnā ConnectWise drošības problēma pēc 2025. gada maija, kad uzņēmums atzina valsts atbalstītu hakeru ielaušanos, kas skāra tā rīka ScreenConnect klientus.