قراصنة صينيون يستهدفون مئات المؤسسات عبر اختراق مدعوم بالذكاء الاصطناعي لـ ConnectWise

تقول مايكروسوفت إن مجموعة من المخترقين ذوي الصلة بالصين نشرت أداة اختبار اختراق مدعومة بالذكاء الاصطناعي لاختراق ConnectWise كجزء من عملية عالمية تستهدف مئات المنظمات. كما أصدر مانري ريفيلو، الرئيس التنفيذي لشركة ConnectWise، بياناً قال فيه إن جميع الأدلة تشير إلى أن مخترقين مدعومين من الصين مسؤولون عن الهجوم على نظام النسخ الاحتياطي السحابي الخاص بهم.

بعد اكتشاف الهجوم في البداية، علقت ConnectWise فوراً الوصول إلى خدماتها للنسخ الاحتياطي السحابي وأمن SaaS وإدارة السحابة. وقد أكد ريفيلو منذ ذلك الحين أن التهديد قد تم احتواؤه، وأن الشركة تعيد الخدمات إلى العمل الآن باستخدام نهج تدريجي ومُدار بعناية.

لكنه حذر من أنه رغم أن هذه الخطوات تؤمن أنظمة ConnectWise، فإنها لا تزيل الأبواب الخلفية الموجودة في الشبكات الفردية للعملاء التي تم اختراقها بالفعل، مما يعني ضرورة إجراء فحوصات أمنية منفصلة.

حدّدت مايكروسوفت الجاني، الذي تعتقد أنه المسؤول عن الهجوم

Microsoft أنه المجرم هو Storm-0940، وهي مجموعة تجسس سيبراني نشطة منذ عام 2021 وتستهدف بشكل عدواني القطاعات الحيوية، بما في ذلك الدفاع والفضاء والحكومة والطاقة وأشباه الموصلات، بالإضافة إلى مختلف الشركات والمنظمات غير الربحية.

وفقاً لباحثي الشركة، حاولت مجموعة الهاكرز الوصول إلى حسابات متعددة من خلال حملة واسعة النطاق لتخمين كلمات المرور قبل اختراق خدمة النسخ الاحتياطي السحابي من ConnectWise.

وجد الباحثون أن Storm-0940 شنّت هجوماً مكثفاً استمر لأربعة أيام قبيل 14 أكتوبر، مستهدفةً 327 حساباً على Microsoft 365 وExchange Online عبر ثماني شركات. وفي تلك الفترة، reportedly أطلقت الفاعل التهديدي موجة ضخمة من هجمات القوة الغاشمة، مسجلةً أكثر من 151,000 محاولة تسجيل دخول فاشلة، بلغت ذروتها عند 2,900 محاولة في الدقيقة.

في اليوم التالي مباشرةً، انتقل Storm-0940 إلى ConnectWise، مستخدماً أدوات الذكاء الاصطناعي الوكيلية (Agentic AI) والبنية التحتية نفسها للشبكة لاختراق أنظمة Microsoft 365 الخاصة بعدد من مستخدمي خدمة النسخ الاحتياطي السحابي من ConnectWise. 

ووفقاً لما ذكرته مايكروسوفت، نفذ Storm-0940 العملية بأكملها باستخدام ARTEX، وهو إطار عمل لاختبار الاختراق مفتوح المصدر. وذكرت أن إطار عمل ARTEX يسمح للمشغلين بدمج أي نموذج ذكاء اصطناعي لأتمتة اختبارات الأمان ويمكن تكوينها للتعامل بشكل مستقل مع مهام مثل الاستطلاع الشبكي واستخراج البيانات.

في الوقت الحالي، تعتقد استخبارات التهديدات التابعة لمايكروسوفت أن المزيد من المخترقين حول العالم يتدفقون إلى ARTEX لتعزيز عملياتهم.

تقول مايكروسوفت إن Storm-0940 قد يكون قد ترك أبوابًا خلفية يمكنه الوصول إليها

تزعم المصادر أن معظم هجمات المجموعة فشلت، لكن مايكروسوفت حذرت من أن Storm-0940 لا يزال قد تمكن بسرعة من تأمين الوصول على مستوى عالٍ في عدة شركات قادرة على مقاومة جهود التنظيف الأمنية القياسية.

اكتشف باحثو مايكروسوفت أنه في بعض الأنظمة المتأثرة، تجاوزت وكلاء الذكاء الاصطناعي التابعين لمجموعة المخترقين مجرد تسجيل الدخول؛ بل قاموا بالتلاعب بنقاط بيانات Microsoft Graph لاستكشاف الدليل، وتعديل بيانات اعتماد التطبيقات لتأمين الوصول، وتغيير الهويات والأدوار ذات الصلاحيات العالية.

كما لاحظوا أن بيئات العملاء أظهرت علامات واضحة على نشاط متتابع، مما يوضح كيف يمكن استغلال تطبيق تابع لجهة خارجية تم اختراقه ويتمتع بصلاحيات عميقة للوصول إلى مناطق لم يُقصد له أبدًا الوصول إليها. 

في وقت سابق من التحقيق، ذكرت هانتريس أن الجناة تمكنوا من الوصول إلى حسابات مستأجري Microsoft 365 بالاستفادة من بيانات اعتماد واحدة تم سرقتها عبر ConnectWise Cloud Backup. في هذه المرحلة، أكدت شركة الأمن أن القراصنة نجحوا في اختراق 162 مستأجرًا للعملاء.

في شرحه لكيفية قيام شركة الأمن بالتحقيق في الاختراق، قال جون سيمان، محلل عمليات الأمن الرئيسي في هانتريس: «أبلغنا شريك في هانتريس عن نشاط مشبوه في تطبيق ConnectWise. بدأنا التحقيق، وتحول الأمر إلى جهد استجابة سريعة عبر العديد من فرق هانتريس».

إضافةً إلى ذلك، أفادت منصة Todyl الأمنية المستخدمة من قبل مقدمي الخدمات المُدارين (MSPs) بأن الهجوم استهدف أيضًا أنظمتها. ووفقًا للشركة، تمكن الفاعل الخبيث من تسجيل الدخول إلى مستأجر Microsoft 365 باستخدام بيانات اعتماد صالحة.

بينما قد يبدو هذا الحادث حادثاً معزولاً، إلا أنه بالتأكيد ليس كذلك. وأكد إيغور تسيجانسكي، نائب الرئيس التنفيذي في مايكروسوفت، أنه بالإضافة إلى هذا الحادث الأخير، كانت هناك العديد من الهجمات الإلكترونية الأخرى المدعومة بالذكاء الاصطناعي. وقال: «كشفنا للتو عن تفاصيل أحدها، من بين العديد» لاحظ.

يجب على المؤسسات التي تستخدم ConnectWise Cloud Backup التحقق من بيئات Microsoft 365 الخاصة بها بحثًا عن تسجيلات دخول مشبوهة، وأذونات تطبيقات غير مصرح بها، والتغييرات غير المتوقعة في حسابات المسؤولين.

كما ينبغي لفرق الأمن مراجعة الجلسات النشطة، وتغيير كلمات المرور المحتملة التعرض للاختراق، وإلغاء رموز الوصول المشبوهة، وسحب صلاحيات الوصول غير المصرح بها.

نظرًا لأن استعادة الخدمة المتأثرة لا تقضي تلقائيًا على آليات الاستمرار داخل شبكات العملاء، فقد تحتاج المؤسسات إلى إجراء تحقيقات مستقلة لتحديد ما إذا كان المهاجمون احتفظوا بالوصول بعد أن قامت ConnectWise باحتواء الاختراق الأولي.