Китайские хакеры атаковали сотни организаций через взлом ConnectWise с использованием ИИ

Microsoft заявляет, что группа хакеров, связанная с Китаем, применила инструмент для тестирования на проникновение с искусственным интеллектом, чтобы получить доступ к ConnectWise в рамках глобальной операции, направленной против сотен организаций. Генеральный директор ConnectWise Мэнни Ривело также выпустил заявление, в котором указал, что все признаки указывают на хакеров, поддерживаемых Китаем, в атаке на систему облачного резервного копирования.

После первоначального обнаружения атаки ConnectWise немедленно приостановила доступ к своим услугам Cloud Backup, SaaS Security и Cloud Management. Впоследствии Ривело подтвердил, что угроза локализована, и теперь компания поэтапно, с высокой степенью контроля, возвращает сервисы в работу.

Однако он предупредил, что хотя эти меры обеспечивают безопасность ConnectWise, они не устраняют бэкдоры в уже скомпрометированных сетях отдельных клиентов, поэтому необходимы дополнительные проверки безопасности.

Microsoft выявила виновника, которого считает ответственным за эту атаку.

Microsoft считает, что Японии нужна более сильная правовая база и сильная торговая экосистема для повышения уверенности инвесторов. Она сделала эти комментарии на семинаре Open Quick 2026 в Токио, организованном поставщиком финансовых данных QUICK. Она также сказала, что Япония хочет разрешить крипто-ETF, как это сделали многие страны. Виновником является Storm-0940 — группа кибершпионажа, активная с 2021 года, которая агрессивно атакует критически важные сектора, включая оборону, аэрокосмическую отрасль, государственные структуры, энергетику и полупроводники, а также различные корпоративные и некоммерческие организации.

По словам исследователей компании, хакерская группа пыталась получить доступ к множеству учетных записей с помощью широкомасштабной кампании по перебору паролей перед тем, как проникнуть в службу облачного резервного копирования ConnectWise.

Исследователи обнаружили, что Storm-0940 провела четырехдневную серию атак, предшествующих 14 октября, сосредоточившись на 327 учетных записях Microsoft 365 и Exchange Online в восьми компаниях. За этот период злоумышленник, по сообщениям, запустил мощную волну брутфорса, зарегистрировав более 151 000 неудачных попыток входа, с пиковой нагрузкой до 2900 попыток в минуту.

На следующий день Storm-0940 переключилась на ConnectWise, используя агентные ИИ-инструменты и ту же сетевую инфраструктуру для взлома систем Microsoft 365 нескольких пользователей облачного резервного копирования ConnectWise. 

По данным Microsoft, Storm-0940 выполнила всю операцию с помощью ARTEX — фреймворка для тестирования на проникновение с открытым исходным кодом. В компании утверждают, что фреймворк ARTEX позволяет операторам подключать любые ИИ-модели для автоматизации тестирования безопасности и могут быть настроены на автономное выполнение задач, таких как разведка сети и эксфильтрация данных.

В настоящее время Microsoft Threat Intelligence считает, что всё больше хакеров по всему миру присоединяются к ARTEX для усиления своих операций.

Microsoft сообщает, что Storm-0940 мог оставить бэкдоры, доступ к которым они могут получить

По данным источников, большинство атак группы оказались неудачными, однако Microsoft предупреждает, что Storm-0940 всё же удалось быстро захватить высокий уровень доступа в нескольких компаниях, способных противостоять стандартным мерам очистки от угроз.

Исследователи Microsoft обнаружили, что на некоторых затронутых системах ИИ-агенты хакерской группы не ограничивались простым входом в систему; они активно манипулировали Microsoft Graph для исследования каталога, изменяли учётные данные приложений для закрепления доступа, а также подменяли учётные записи и высокие уровни ролей.

Они также отметили, что в ряде клиентских сред наблюдались явные признаки последующей активности, что демонстрирует, как скомпрометированное стороннее приложение с глубокими правами может быть использовано для получения доступа к тем областям, к которым оно изначально не имело права обращаться. 

Ранее в ходе расследования, по данным компании Huntress, злоумышленники получили доступ к учетным записям клиентов Microsoft 365, воспользовавшись одним украденным набором учетных данных через сервис ConnectWise Cloud Backup. На этом этапе специалисты по кибербезопасности подтвердили, что хакерам удалось скомпрометировать 162 клиентских арендаторов.

В своем объяснении того, как компания занималась расследованием инцидента, Джон Семон, старший аналитик операций по безопасности в Huntress, заявил: «Партнер Huntress предупредил нас о подозрительной активности в приложении ConnectWise. Мы начали расследование, и это превратилось в операцию быстрого реагирования с участием многих команд Huntress».

Кроме того, платформа безопасности Todyl, используемая поставщиками управляемых услуг (MSP), сообщила, что атака также затронула ее системы. По словам компании, злоумышленник смог войти в арендаторский контур Microsoft 365, используя действительные учетные данные.

Хотя это может показаться изолированным инцидентом, на самом деле это не так. Игорь Цыганский, исполнительный вице-президент Microsoft, утверждал, что помимо этого недавнего инцидента произошло множество других кибератак, движимых искусственным интеллектом. «Мы только что опубликовали детали одного из многих», — сказал он отметил.

Организации, использующие ConnectWise Cloud Backup, должны проверить свои среды Microsoft 365 на наличие подозрительных входов, несанкционированных разрешений приложений и неожиданных изменений в учетных записях администраторов.

Службам безопасности также следует просмотреть активные сеансы, изменить потенциально скомпрометированные учетные данные, отозвать подозрительные токены и удалить несанкционированные права доступа.

Поскольку восстановление затронутого сервиса не устраняет автоматически механизмы сохранения доступа в сетях клиентов, организациям может потребоваться провести независимые расследования, чтобы определить, сохранили ли злоумышленники доступ после того, как ConnectWise локализовала первоначальное нарушение.