Chinesische Hacker zielen auf Hunderte Organisationen bei KI-gestütztem ConnectWise-Angriff

Microsoft gibt an, dass eine mit China verbundene Hackergruppe ein KI-gestütztes Penetrationstesting-Tool eingesetzt hat, um ConnectWise im Rahmen einer globalen Operation zu kompromittieren, die Hunderte von Organisationen zielte. Der CEO von ConnectWise, Manny Rivelo, veröffentlichte ebenfalls eine Erklärung, in der er angab, dass alle Hinweise auf von China unterstützte Hacker für den Angriff auf ihr Cloud-Backup-System hinweisen.

Nachdem der Angriff zunächst erkannt wurde, hat ConnectWise sofort den Zugriff auf seine Dienste Cloud Backup, SaaS Security und Cloud Management ausgesetzt. Rivelo hat inzwischen bestätigt, dass die Bedrohung eingedämmt ist und die Dienste nun schrittweise und unter strenger Kontrolle wieder online gehen.

Er warnte jedoch, dass diese Schritte zwar ConnectWise sichern, aber keine Hintertüren in bereits kompromittierten einzelnen Kundennetzwerken beseitigen, was bedeutet, dass separate Sicherheitsüberprüfungen erforderlich sind.

Microsoft hat den Täter identifiziert, von dem sie glaubt, dass er für den Angriff verantwortlich ist.

Microsoft glaubt Der Übeltäter ist Storm-0940, eine seit 2021 aktive Cyber-Espionage-Gruppe, die kritische Sektoren wie Verteidigung, Luft- und Raumfahrt, Regierung, Energie und Halbleiter sowie verschiedene Unternehmens- und Non-Profit-Organisationen aggressiv ins Visier nimmt.

Laut den Forschern des Unternehmens versuchte die Hackergruppe, auf mehrere Konten zugreifen, indem sie zuvor eine weit verbreitete Password-Spraying-Kampagne durchführte, bevor sie in den Cloud-Backup-Dienst von ConnectWise eindrang.

Forscher stellten fest, dass Storm-0940 einen vier Tage andauernden Blitzangriff bis zum 14. Oktober startete und sich dabei auf 327 Microsoft 365- und Exchange Online-Konten in acht Unternehmen konzentrierte. In diesem Zeitraum setzte der Bedrohungsakteur reportedly eine massive Brute-Force-Welle ein und verzeichnete über 151.000 fehlgeschlagene Anmeldeversuche, mit einem Spitzenwert von 2.900 pro Minute.

Am darauffolgenden Tag wechselte Storm-0940 zu ConnectWise und nutzte agentic AI-Tools sowie dieselbe Netzwerkinfrastruktur, um in die Microsoft 365-Systeme mehrerer Nutzer von ConnectWise Cloud Backup einzudringen. 

Laut Microsoft führte Storm-0940 den gesamten Vorgang mit ARTEX aus, einem Open-Source-Penetrationstest-Framework. Es wurde behauptet, dass das ARTEX-Framework Betreibern ermöglicht, beliebige KI-Modelle zur Automatisierung von Sicherheitstests und können so konfiguriert werden, dass sie Aufgaben wie Netzwerkreconnaissance und Datenexfiltration autonom durchführen.

Derzeit ist die Microsoft Threat Intelligence der Auffassung, dass mehr Hacker weltweit zu ARTEX wechseln, um ihre Operationen zu beschleunigen.

Microsoft gibt an, dass Storm-0940 möglicherweise Hintertüren hinterlassen hat, auf die sie zugreifen können

Quellen behaupten, dass die meisten Angriffe der Gruppe scheiterten, aber Microsoft warnte, dass Storm-0940 dennoch in der Lage war, schnell den hochrangigen Zugriff bei mehreren Unternehmen zu sichern, die den üblichen Sicherheitsbereinigungsmaßnahmen standhalten können.

Microsoft-Forscher stellten fest, dass die KI-Agenten der Hackergruppe in einigen betroffenen Systemen über das reine Anmelden hinausgingen; sie manipulierten aktiv Microsoft Graph, um das Verzeichnis auszukundschaften, Anwendungsanmeldeinformationen zu manipulieren, um den Zugriff zu sichern, und Identitäten sowie hochrangige Rollen zu ändern.

Sie stellten außerdem fest, dass mehrere Kundenumgebungen klare Anzeichen für nachgelagerte Aktivitäten zeigten, was veranschaulicht, wie eine kompromittierte Drittanbieter-App mit tiefgreifenden Berechtigungen ausgenutzt werden kann, um Bereiche zu erreichen, auf die sie eigentlich keinen Zugriff haben sollte. 

Laut Huntress erlangten die Täter zu Beginn der Untersuchung Zugriff auf die Mandantenkonten von Microsoft 365, indem sie eine einzelne Anmeldeinformation ausnutzten, die über ConnectWise Cloud Backup gestohlen wurde. In dieser Phase bestätigte das Sicherheitsunternehmen, dass Hacker erfolgreich 162 Kundenmandanten kompromittiert hatten.

Jon Semon, Principal Security Operations Analyst bei Huntress, erklärte den Untersuchungsprozess des Sicherheitsunternehmens: „Ein Huntress-Partner hat uns auf verdächtige Aktivitäten in der ConnectWise-Anwendung aufmerksam gemacht. Wir begannen mit der Untersuchung, und es entwickelte sich zu einem schnellen Reaktionsprozess, an dem viele Huntress-Teams beteiligt waren.“

Darüber hinaus meldete Todyl, eine von Managed Service Providern genutzte Sicherheitsplattform, dass auch ihre Systeme angegriffen wurden. Laut dem Unternehmen war es dem Bedrohungsakteur möglich, sich mit gültigen Anmeldeinformationen im Microsoft 365-Mandanten anzumelden.

Obwohl dies wie ein isolierter Vorfall erscheinen mag, ist es das keineswegs. Igor Tsyganskiy, Executive Vice President bei Microsoft, betonte, dass es neben diesem jüngsten Vorfall zahlreiche weitere KI-gestützte Cyberangriffe gegeben habe. „Wir haben gerade Details eines von vielen veröffentlicht“, sagte er bemerkte.

Organisationen, die ConnectWise Cloud Backup nutzen, sollten ihre Microsoft 365-Umgebungen auf verdächtige Anmeldeversuche, unbefugte Anwendungsberechtigungen und unerwartete Änderungen an Administratorkonten überprüfen.

Sicherheitsteams sollten zudem aktive Sitzungen prüfen, potenziell kompromittierte Zugangsdaten rotieren, verdächtige Tokens widerrufen und unbefugte Zugriffsrechte entziehen.

Da die Wiederherstellung des betroffenen Dienstes Persistenzmechanismen in Kundennetzwerken nicht automatisch beseitigt, müssen Organisationen möglicherweise eigenständige Untersuchungen durchführen, um festzustellen, ob Angreifer nach der Eindämmung des ursprünglichen Sicherheitsvorfalls durch ConnectWise weiterhin Zugriff behalten haben.