Hacker cinesi prendono di mira centinaia di organizzazioni con una violazione ConnectWise alimentata dall'AI

Microsoft afferma che un gruppo di hacker con legami cinesi ha impiegato uno strumento di penetration testing basato sull'intelligenza artificiale per violare ConnectWise, nell'ambito di un'operazione globale che ha preso di mira centinaia di organizzazioni. Il CEO di ConnectWise, Manny Rivelo, ha rilasciato una dichiarazione in cui indica che tutti i segnali puntano a hacker sostenuti dalla Cina per l'attacco al loro sistema Cloud Backup.

Dopo aver rilevato inizialmente l'attacco, ConnectWise ha immediatamente sospeso l'accesso ai servizi Cloud Backup, SaaS Security e Cloud Management. Rivelo ha successivamente confermato che la minaccia è sotto controllo e che i servizi vengono progressivamente riattivati mediante un approccio graduale e altamente gestito.

Tuttavia, ha avvertito che, sebbene queste misure garantiscano la sicurezza di ConnectWise, non eliminano le backdoor presenti nelle reti dei singoli clienti già compromesse, rendendo necessari controlli di sicurezza separati.

Microsoft ha identificato il responsabile, ritenuto responsabile dell'attacco

Microsoft ritiene Il colpevole è Storm-0940, un gruppo di cyber-spionaggio attivo dal 2021 che prende di mira aggressivamente settori critici, tra cui difesa, aerospaziale, governo, energia e semiconduttori, nonché varie organizzazioni aziendali e no-profit.

Secondo i ricercatori della società, il gruppo di hacker ha tentato di accedere a più account tramite una campagna diffusa di password spraying prima di infiltrarsi nel servizio Cloud Backup di ConnectWise.

I ricercatori hanno scoperto che Storm-0940 ha lanciato un blitz di quattro giorni in vista del 14 ottobre, concentrandosi su 327 account Microsoft 365 ed Exchange Online presso otto aziende. In quel periodo, l'attore della minaccia avrebbe scatenato una massiccia ondata di attacchi brute-force, registrando oltre 151.000 tentativi di accesso falliti, con un picco di 2.900 al minuto.

Il giorno successivo, Storm-0940 si è rivolto a ConnectWise, utilizzando strumenti AI agentic e la stessa infrastruttura di rete per violare i sistemi Microsoft 365 di diversi utenti di ConnectWise Cloud Backup. 

Secondo Microsoft, Storm-0940 ha eseguito l'intera operazione utilizzando ARTEX, un framework open-source per i test di penetrazione. Ha sostenuto che il framework ARTEX consente agli operatori di integrare qualsiasi modello AI per automatizzare i test di sicurezza e possono essere configurati per gestire in modo autonomo attività come la ricognizione di rete e l'esfiltrazione dei dati.

Al momento, Microsoft Threat Intelligence ritiene che più hacker in tutto il mondo si stiano rivolgendo ad ARTEX per potenziare le proprie operazioni.

Microsoft afferma che Storm-0940 potrebbe aver lasciato backdoor a cui può accedere

Le fonti sostengono che la maggior parte degli attacchi del gruppo non ha avuto successo, ma Microsoft ha avvertito che Storm-0940 è comunque riuscito a bloccare rapidamente l'accesso di alto livello presso diverse aziende, superando gli standard interventi di pulizia della sicurezza.

I ricercatori di Microsoft hanno scoperto che, in alcuni sistemi interessati, gli agenti AI del gruppo di hacker non si sono limitati ad accedere; hanno manipolato attivamente Microsoft Graph per esplorare il directory, alterato le credenziali delle applicazioni per consolidare l'accesso e modificato identità e ruoli di alto livello.

Hanno inoltre notato che diversi ambienti cliente mostravano chiari segni di attività successive, illustrando come un'app di terze parti compromessa con permessi approfonditi possa essere sfruttata per raggiungere aree per cui non era destinata. 

In una fase precedente dell'indagine, secondo Huntress, gli autori hanno ottenuto l'accesso agli account tenant di Microsoft 365 sfruttando un'unica credenziale rubata tramite ConnectWise Cloud Backup. In questa fase, la società di sicurezza ha confermato che gli hacker avevano compromesso con successo 162 tenant dei clienti.

Nella sua spiegazione su come la società di sicurezza abbia proceduto all'indagine sulla violazione, Jon Semon, analista principale delle operazioni di sicurezza presso Huntress, ha dichiarato: "Un partner di Huntress ci ha segnalato attività sospette nell'applicazione ConnectWise. Abbiamo iniziato a indagare e si è trattata di una risposta rapida che ha coinvolto molti team di Huntress."

Oltre a questo, Todyl, una piattaforma di sicurezza utilizzata dai provider di servizi gestiti (MSP), ha segnalato che l'attacco ha preso di mira anche i suoi sistemi. Secondo l'azienda, l'attore della minaccia è riuscito ad accedere al tenant di Microsoft 365 utilizzando credenziali valide.

Sebbene ciò possa sembrare un incidente isolato, non lo è affatto. Igor Tsyganskiy, vice presidente esecutivo di Microsoft, ha affermato che, oltre a questo recente incidente, ci sono stati molti altri attacchi informatici guidati dall'intelligenza artificiale. "Abbiamo appena reso pubblici i dettagli di uno dei tanti", ha ha notato.

Le organizzazioni che utilizzano ConnectWise Cloud Backup dovrebbero esaminare i propri ambienti Microsoft 365 alla ricerca di accessi sospetti, autorizzazioni non autorizzate per le applicazioni e modifiche impreviste agli account amministratore.

I team di sicurezza dovrebbero inoltre revisionare le sessioni attive, ruotare le credenziali potenzialmente compromesse, revocare i token sospetti e rimuovere i privilegi di accesso non autorizzati.

Poiché il ripristino del servizio interessato non elimina automaticamente i meccanismi di persistenza all'interno delle reti dei clienti, le organizzazioni potrebbero dover condurre indagini indipendenti per determinare se gli aggressori hanno mantenuto l'accesso dopo che ConnectWise ha contenuto la violazione iniziale.