Hackers chineses visam centenas de organizações em violação da ConnectWise com IA

A Microsoft afirma que um grupo de hackers com ligações à China implantou uma ferramenta de teste de penetração baseada em IA para violar a ConnectWise, no âmbito de uma operação global que visava centenas de organizações. O próprio CEO da ConnectWise, Manny Rivelo, também emitiu um comunicado afirmando que todas as evidências apontam para hackers apoiados pela China como responsáveis pelo ataque ao seu sistema Cloud Backup.

Após detectar inicialmente o ataque, a ConnectWise suspendeu imediatamente o acesso aos seus serviços Cloud Backup, SaaS Security e Cloud Management. Rivelo confirmou posteriormente que a ameaça está contida e que os serviços estão sendo restabelecidos por meio de uma abordagem faseada e altamente gerenciada.

No entanto, ele alertou que, embora essas medidas garantam a segurança da ConnectWise, elas não removem os backdoors em redes individuais de clientes já comprometidas, o que significa que são necessárias verificações de segurança separadas.

A Microsoft identificou o responsável, que acredita ser o autor do ataque.

Microsoft acredita O culpado é o Storm-0940, um grupo de ciberespionagem ativo desde 2021 que tem como alvo agressivo setores críticos, incluindo defesa, aeroespacial, governo, energia e semicondutores, bem como diversas organizações corporativas e sem fins lucrativos.

De acordo com os pesquisadores da empresa, o grupo de hackers tentou acessar várias contas por meio de uma campanha generalizada de password spraying antes de infiltrar-se no serviço Cloud Backup da ConnectWise.

Os pesquisadores descobriram que o Storm-0940 lançou um ataque relâmpago de quatro dias que culminou em 14 de outubro, focando em 327 contas do Microsoft 365 e Exchange Online em oito empresas. Nesse período, o ator de ameaça supostamente desencadeou uma onda massiva de força bruta, registrando mais de 151.000 tentativas de login falhas, com pico de 2.900 por minuto.

No dia seguinte, o Storm-0940 mudou o foco para a ConnectWise, utilizando ferramentas de IA agêntica e a mesma infraestrutura de rede para violar os sistemas Microsoft 365 de vários usuários do Cloud Backup da ConnectWise. 

De acordo com a Microsoft, o Storm-0940 executou toda a operação usando o ARTEX, um framework de testes de penetração de código aberto. A empresa afirmou que o framework ARTEX permite que os operadores integrem qualquer modelo de IA para automatizar testes de segurança e podem ser configurados para lidar autonomamente com tarefas como reconhecimento de rede e exfiltração de dados.

No momento, a Microsoft Threat Intelligence acredita que mais hackers ao redor do mundo estão migrando para o ARTEX para potencializar suas operações.

A Microsoft afirma que o Storm-0940 pode ter deixado backdoors aos quais eles têm acesso

Fontes afirmam que a maioria dos ataques do grupo falhou, mas a Microsoft alertou que o Storm-0940 ainda conseguiu rapidamente bloquear o acesso de alto nível em várias empresas que resistem aos esforços padrão de limpeza de segurança.

Pesquisadores da Microsoft descobriram que, em alguns sistemas afetados, os agentes de IA do grupo de hackers foram além do simples login; eles manipularam ativamente o Microsoft Graph para explorar o diretório, adulteraram as credenciais do aplicativo para garantir o acesso e alteraram identidades e funções de alto nível.

Eles também observaram que vários ambientes de clientes apresentaram sinais claros de atividade subsequente, ilustrando como um aplicativo de terceiros comprometido com permissões profundas pode ser explorado para alcançar áreas para as quais nunca deveria ter tido acesso. 

No início da investigação, segundo a Huntress, os perpetradores obtiveram acesso às contas de inquilinos do Microsoft 365 ao explorar uma única credencial roubada por meio do ConnectWise Cloud Backup. Nesta fase, a empresa de segurança confirmou que hackers haviam comprometido com sucesso 162 inquilinos de clientes.

Em sua explicação sobre como a empresa de segurança conduziu a investigação do vazamento, Jon Semon, analista principal de operações de segurança da Huntress, afirmou: “Um parceiro da Huntress nos alertou sobre atividades suspeitas no aplicativo ConnectWise. Começamos a investigar e isso se tornou um esforço de resposta rápida envolvendo muitas equipes da Huntress.”

Além disso, a Todyl, uma plataforma de segurança utilizada por provedores de serviços gerenciados (MSPs), relatou que o ataque também visava seus sistemas. De acordo com a empresa, o ator malicioso conseguiu fazer login no inquilino do Microsoft 365 usando credenciais válidas.

Embora isso possa parecer um incidente isolado, certamente não é. Igor Tsyganskiy, vice-presidente executivo da Microsoft, afirmou que, além deste incidente recente, houve muitos outros ciberataques impulsionados por IA. “Acabamos de divulgar detalhes de um dos muitos,” ele observou.

As organizações que utilizam o ConnectWise Cloud Backup devem investigar seus ambientes Microsoft 365 em busca de sign-ins suspeitos, permissões não autorizadas de aplicativos e alterações inesperadas nas contas de administrador.

As equipes de segurança também devem revisar sessões ativas, rodar credenciais potencialmente expostas, revogar tokens suspeitos e remover privilégios de acesso não autorizados.

Como a restauração do serviço afetado não elimina automaticamente os mecanismos de persistência dentro das redes dos clientes, as organizações podem precisar conduzir investigações independentes para determinar se os atacantes mantiveram o acesso após o ConnectWise conter a violação inicial.