中国黑客利用AI攻击ConnectWise，波及数百家机构

微软表示，一个与中国有关联的黑客组织部署了一款基于AI的渗透测试工具，入侵了ConnectWise，这是其针对全球数百家机构发起的全球行动的一部分。ConnectWise首席执行官Manny Rivelo也发表声明称，所有迹象均指向此次对其云备份系统的攻击是由受中国政府支持的黑客所为。

在最初发现攻击后，ConnectWise立即暂停了其云备份、SaaS安全和云管理服务的使用权限。Rivelo随后确认威胁已得到控制，并正通过分阶段、高度管控的方式逐步恢复服务上线。

然而，他警告称，尽管这些措施保障了ConnectWise自身的安全，但并未清除已被攻陷的单个客户网络中的后门，因此必须进行单独的安全检查。

微软确定了肇事者，并认为该组织应对此次攻击负责

微软 认为 罪魁祸首是Storm-0940，这是一个自2021年以来活跃的网络间谍组织，积极针对包括国防、航空航天、政府、能源和半导体在内的关键行业，以及各类企业和非营利组织。

据该公司研究人员称，黑客团伙试图访问 多个账户 通过广泛的密码喷洒攻击，随后入侵了ConnectWise的云备份服务。

研究人员发现，Storm-0940在10月14日之前发动了为期四天的闪电战，重点瞄准了8家公司中的327个Microsoft 365和Exchange Online账户。在此期间，该威胁行为者据报道发动了大规模的暴力破解攻击，记录了超过151,000次失败的登录尝试，峰值达到每分钟2,900次。

第二天，Storm-0940转向ConnectWise，利用代理AI工具和相同的网络基础设施，突破了多个ConnectWise云备份用户的Microsoft 365系统。 

据微软称，Storm-0940使用ARTEX（一个开源渗透测试框架）执行了整个操作。微软指出，ARTEX框架允许操作员接入任何AI模型以自动化 安全测试 并且可以配置为自主处理网络侦察和数据外泄等任务。

目前，微软威胁情报部门认为，全球更多黑客正蜂拥至ARTEX平台以增强其攻击能力。

微软表示，Storm-0940可能留下了后门，以便他们后续访问。

据消息人士称，该组织的大多数攻击未能成功，但微软警告称，Storm-0940仍迅速在多家企业锁定了高级别访问权限，这些企业能够抵御常规的安全清理措施。

微软研究人员发现，在某些受影响的系统中，黑客组织的AI代理不仅限于登录操作；它们还会主动操纵Microsoft Graph来探测目录结构、篡改应用程序凭据以锁定访问权限，并更改身份及高级别角色。

他们还指出，多个客户环境显示出明显的后续活动迹象，这表明具有深层权限的第三方应用被利用后，可被用于访问其原本无权触及的区域。 

在调查早期，根据Huntress的说法，攻击者通过利用ConnectWise Cloud Backup中泄露的单个凭据，获得了Microsoft 365租户账户的访问权限。在此阶段，这家安全公司确认黑客已成功入侵了162个客户租户。

在解释Huntress如何开展此次漏洞调查时，Huntress首席安全运营分析师Jon Semon表示：“一位Huntress合作伙伴向我们通报了ConnectWise应用程序中的可疑活动。我们随即开始调查，这演变为一场涉及多个Huntress团队的快速响应行动。”

此外，由托管服务提供商使用的安全平台Todyl也报告称，其系统同样遭到了攻击。该公司表示，威胁行为者能够使用有效凭据登录到Microsoft 365租户环境。

虽然这看似是一起孤立事件，但事实并非如此。微软执行副总裁Igor Tsyganskiy指出，除了这起近期事件外，还发生了许多其他由AI驱动的网络攻击。“我们刚刚公开了其中一起事件的详细信息，”他 交易价格低于其200日移动平均线，这是自2022年熊市以来最长的此类时期。.

使用 ConnectWise 云备份的组织应调查其 Microsoft 365 环境，查找可疑登录、未经授权的 application 权限以及对管理员账户的意外更改。

安全团队还应审查活动会话，轮换可能泄露的凭据，撤销可疑令牌，并移除未授权的访问权限。

由于恢复受影响的服务并不会自动消除客户网络中的持久化机制，组织可能需要开展独立调查，以确定攻击者在 ConnectWise 遏制初始入侵后是否仍保留了对网络的访问权限。