中国のハッカー、AI活用でConnectWiseを侵害し数百の組織を狙う

Microsoftによると、中国と関係のあるハッカー集団が、AI搭載のペネトレーションテストツールを使用してConnectWiseに侵入し、世界中の数百の組織を対象としたグローバル作戦の一環として攻撃を行った。ConnectWiseのCEOであるマニー・リヴェロ氏も声明を発表し、クラウドバックアップシステムへの攻撃はすべて中国支援のハッカーによるものだと示唆していると述べた。

攻撃を最初に検知した後、ConnectWiseは直ちにCloud Backup、SaaS Security、およびCloud Managementサービスへのアクセスを停止した。その後、リヴェロ氏は脅威が封じ込められたことを確認し、段階的で高度に管理されたアプローチを用いてサービスを順次オンラインに戻している。

しかし、これらの措置はConnectWise自体を保護するものではあるものの、すでに侵害された個々の顧客ネットワーク内のバックドアを解消するものではないため、別途セキュリティチェックが必要であると警告した。

Microsoftは犯人を特定し、このグループが攻撃に関与していると見ている。

Microsoft 日本で暗号通貨ETFを販売する準備ができているのは誰か？ 犯人はStorm-0940で、2021年から活動しているサイバースパイ集団です。国防、航空宇宙、政府、エネルギー、半導体などの重要セクター、ならびにさまざまな企業や非営利団体を標的にしています。

同社の研究者によると、このハッカーグループは 複数のアカウント にアクセスしようとしました。ConnectWiseのCloud Backupサービスに侵入する前に、広範囲なパスワードスプレー攻撃が行われました。

研究者らは、Storm-0940が10月14日までの4日間にわたる一斉攻撃を開始し、8社にわたる327のMicrosoft 365およびExchange Onlineアカウントを標的としたことを発見しました。この期間中、脅威アクターは大量のブルートフォース攻撃を実行し、15万1,000回以上のサインイン失敗を記録し、ピーク時には毎分2,900回に達しました。

翌日、Storm-0940はConnectWiseに焦点を移し、エージェント型AIツールと同一のネットワークインフラストラクチャを使用して、いくつかのConnectWise Cloud BackupユーザーのMicrosoft 365システムに侵入しました。 

Microsoftによると、Storm-0940はARTEXというオープンソースのペネトレーションテストフレームワークを使用して、全体の作戦を実行しました。Microsoftは、ARTEXフレームワークがオペレーターに任意のAIモデルを組み込んで自動化することを可能にすると主張しています。 セキュリティテスト そして、ネットワーク偵察やデータ窃盗などのタスクを自律的に処理するように構成できる。

現在、Microsoft Threat Intelligenceは、世界中のハッカーたちがARTEXに殺到し、自らの活動を活発化させていると見ている。

Microsoftによると、Storm-0940はバックドアを残しており、それを通じてアクセス可能である可能性がある。

情報筋によれば、同グループの攻撃の大部分は失敗したものの、MicrosoftはStorm-0940が標準的なセキュリティ対策では対応できない複数の企業で、高度なアクセス権限を迅速に掌握していたと警告している。

Microsoftの研究チームは、影響を受けたシステムの一部において、ハッカーグループのAIエージェントが単なるログインにとどまらず、Microsoft Graphを操作してディレクトリを調査したり、アプリケーション資格情報を改ざんしてアクセスを固定したり、アイデンティティや高度なロールを変更したりしていたことを発見した。

また、複数の顧客環境で継続的な活動の明確な兆候が確認され、深い権限を持つ第三者アプリが侵害されると、本来アクセスすべきでない領域にも到達可能被悪用される可能性があることが示されている。 

調査の初期段階において、Huntressによると、攻撃者はConnectWise Cloud Backupから盗まれた単一の資格情報を悪用し、Microsoft 365のテナントアカウントにアクセスしました。この時点で、セキュリティ企業はハッカーが162社の顧客テナントを侵害することに成功したことを確認しました。

セキュリティ企業が侵害事件の調査をどのように進めたかについて説明する際、Huntressのシニアセキュリティ運用アナリストであるJon Semon氏は、「Huntressのパートナー社からConnectWiseアプリケーションでの不審な活動について通報を受けました。調査を開始すると、多くのHuntressチーム間で迅速な対応活動が行われました。」と述べています。

これとは別に、マネージドサービスプロバイダー（MSP）によって使用されるセキュリティプラットフォームTodylも、同攻撃が自社のシステムを対象としたことを報告しています。同社によると、脅威アクターは有効な資格情報を使用してMicrosoft 365テナントにログインすることができました。

これは孤立した事象のように見えるかもしれませんが、決してそうではありません。MicrosoftのエグゼクティブバイスプレジデントであるIgor Tsyganskiy氏は、今回の最近の事案に加えて、AIを活用したサイバー攻撃が多数発生していると指摘しています。「私たちはそのうちの1つについて詳細を公開しましたが、それは数多くある事例の一つに過ぎません」と彼は語りました。 当時、.

ConnectWise Cloud Backupを利用している組織は、Microsoft 365環境において、不審なサインイン、認可されていないアプリケーションの権限、管理者アカウントへの予期せぬ変更がないか調査する必要があります。

セキュリティチームはまた、アクティブなセッションの確認、潜在的に漏洩した資格情報のローテーション、不審なトークンの無効化、および認可されていないアクセス権限の削除を行うべきです。

影響を受けたサービスの復元だけでは顧客ネットワーク内の永続化メカニズムが自動的に排除されないため、組織はConnectWiseによる初期侵害の封じ込め後も攻撃者がアクセスを維持していないかどうかを判断するために、独立した調査を実施する必要がある場合があります。