Hackers chinos atacan a cientos de organizaciones con brecha en ConnectWise impulsada por IA

Microsoft afirma que un grupo de hackers con vínculos con China desplegó una herramienta de pruebas de penetración impulsada por inteligencia artificial para vulnerar ConnectWise como parte de una operación global que tenía como objetivo a cientos de organizaciones. El propio CEO de ConnectWise, Manny Rivelo, también emitió un comunicado en el que señalaba que todas las indicios apuntan a hackers respaldados por China por el ataque a su sistema Cloud Backup.

Tras detectar inicialmente el ataque, ConnectWise suspendió inmediatamente el acceso a sus servicios Cloud Backup, SaaS Security y Cloud Management. Rivelo ha confirmado posteriormente que la amenaza está contenida y que ahora está restableciendo los servicios en línea mediante un enfoque escalonado y altamente gestionado.

Sin embargo, advirtió que, aunque estas medidas aseguran ConnectWise, no eliminan las puertas traseras en las redes individuales de clientes ya comprometidas, lo que significa que deben realizarse verificaciones de seguridad separadas.

Microsoft identificó al responsable, que según su creencia es el autor del ataque

Microsoft cree El responsable es Storm-0940, un grupo de ciberespionaje activo desde 2021 que ataca agresivamente a sectores críticos, como defensa, aeroespacial, gobierno, energía y semiconductores, así como a diversas empresas y organizaciones sin fines de lucro.

Según los investigadores de la firma, el grupo de hackers intentó acceder a múltiples cuentas mediante una campaña generalizada de ataque por fuerza bruta con contraseñas antes de infiltrarse en el servicio de Copia de Seguridad en la Nube de ConnectWise.

Los investigadores descubrieron que Storm-0940 lanzó un blitz de cuatro días previo al 14 de octubre, centrado en 327 cuentas de Microsoft 365 y Exchange Online en ocho empresas. Durante ese período, el actor de amenazas reportedly desató una ola masiva de fuerza bruta, registrando más de 151.000 intentos fallidos de inicio de sesión, alcanzando un pico de 2.900 por minuto.

Al día siguiente, Storm-0940 se desplazó hacia ConnectWise, utilizando herramientas de IA agente y la misma infraestructura de red para vulnerar los sistemas de Microsoft 365 de varios usuarios del servicio de Copia de Seguridad en la Nube de ConnectWise. 

Según Microsoft, Storm-0940 ejecutó toda la operación utilizando ARTEX, un marco de trabajo de pruebas de penetración de código abierto. La compañía sostuvo que el marco ARTEX permite a los operadores integrar cualquier modelo de IA para automatizar las pruebas de seguridad y pueden configurarse para gestionar de forma autónoma tareas como el reconocimiento de red y la exfiltración de datos.

En este momento, Microsoft Threat Intelligence cree que más hackers en todo el mundo están acudiendo a ARTEX para potenciar sus operaciones.

Microsoft afirma que Storm-0940 puede haber dejado puertas traseras a las que ellos pueden acceder

Las fuentes afirman que la mayoría de los ataques del grupo fracasaron, pero Microsoft ha advertido de que Storm-0940 aún logró bloquear rápidamente el acceso de alto nivel en varias empresas capaces de resistir los esfuerzos estándar de limpieza de seguridad.

Los investigadores de Microsoft descubrieron que, en algunos sistemas afectados, los agentes de IA del grupo de hackers no solo iniciaron sesión; manipularon activamente Microsoft Graph para explorar el directorio, alteraron las credenciales de las aplicaciones para asegurar el acceso y modificaron identidades y roles de alto nivel.

También señalaron que varios entornos de clientes mostraban claras señales de actividad posterior, lo que ilustra cómo una aplicación de terceros comprometida con permisos profundos puede ser explotada para alcanzar áreas a las que nunca se suponía que debía acceder. 

Antes en la investigación, según Huntress, los perpetradores accedieron a las cuentas de inquilinos de Microsoft 365 aprovechando una única credencial robada a través de ConnectWise Cloud Backup. En esta etapa, la empresa de seguridad confirmó que los hackers habían comprometido con éxito 162 inquilinos de clientes.

En su explicación sobre cómo la empresa de seguridad llevó a cabo la investigación de la brecha, Jon Semon, analista principal de operaciones de seguridad en Huntress, dijo: «Un socio de Huntress nos alertó sobre actividad sospechosa en la aplicación ConnectWise. Comenzamos a investigar y se convirtió en un esfuerzo de respuesta rápida entre muchos equipos de Huntress».

Además de esto, Todyl, una plataforma de seguridad utilizada por proveedores de servicios gestionados (MSP), informó que el ataque también apuntaba a sus sistemas. Según la compañía, el actor de la amenaza pudo iniciar sesión en el inquilino de Microsoft 365 utilizando credenciales válidas.

Aunque esto pueda parecer un incidente aislado, ciertamente no lo es. Igor Tsyganskiy, vicepresidente ejecutivo de Microsoft, afirmó que, además de este reciente incidente, ha habido muchos más ciberataques impulsados por IA. «Acabamos de hacer públicos los detalles de uno de muchos», dijo El analista de CryptoQuant, Darkfrost,.

Las organizaciones que utilizan ConnectWise Cloud Backup deberían investigar sus entornos de Microsoft 365 en busca de inicios de sesión sospechosos, permisos de aplicaciones no autorizados y cambios inesperados en las cuentas de administrador.

Los equipos de seguridad también deben revisar las sesiones activas, rotar las credenciales potencialmente comprometidas, revocar los tokens sospechosos y eliminar los privilegios de acceso no autorizados.

Dado que la restauración del servicio afectado no elimina automáticamente los mecanismos de persistencia dentro de las redes de los clientes, las organizaciones pueden necesitar realizar investigaciones independientes para determinar si los atacantes conservaron el acceso después de que ConnectWise contuviera la brecha inicial.