به گفته پژوهشگران امنیتی مایکروسافت، هکرهای همسو با دولت چین به سرویس پشتیبان‌گیری ابری ConnectWise نفوذ کردند و اعتبارنامه‌هایی را دزدیدند که برای اتصال این سرویس به سامانه‌های مشتریان به کار می‌رفت. این اعتبارنامه‌ها می‌توانستند به مهاجمان امکان دهند به‌عنوان کاربران مجاز وارد محیط‌های میزبانی‌شده توسط مایکروسافتِ مشتریان شوند و به ایمیل‌ها و فایل‌های دیگر دسترسی پیدا کنند.
مایکروسافت می‌گوید هکرها با استفاده از عامل‌های هوش مصنوعی، در هر دقیقه نزدیک به 3,000 بار تلاش کردند به حدود 2,250 سازمان وارد شوند. این رقم شمار تلاش‌های ورود را نشان می‌دهد؛ منبع نمی‌گوید چند تلاش موفق بوده یا سازمان‌های آسیب‌دیده را نام نمی‌برد.
نحوه وقوع نفوذ
اعتبارنامه‌های برنامه‌ایِ دزدیده‌شده، سرویس پشتیبان‌گیری ConnectWise را به حساب‌های مشتریان شرکتی متصل می‌کنند. مهاجمان پس از ورود به محیط مایکروسافتِ یک مشتری، می‌توانستند به داده‌های آنجا دسترسی پیدا کنند، نه فقط نسخه‌های پشتیبانی‌شده‌ای که ConnectWise نگه‌داری می‌کرد.
مایکروسافت سرعت این کارزار را به ARTEX نسبت داد؛ چارچوبی متن‌باز مبتنی بر هوش مصنوعی که برای آزمودن استحکام دفاع‌های سایبری طراحی شده است. به گفته منبع، از همین نرم‌افزار در نفوذ اخیر به سامانه‌های مالی کره جنوبی هم استفاده شد؛ جایی که گزارش شده بسیاری از سازمان‌ها امنیت ضعیفی داشتند و احراز هویت چندعاملی را به کار نمی‌بردند. منبع جزئیات فنی استفاده از ARTEX در هیچ‌یک از این دو رویداد را ارائه نمی‌کند.
واکنش ConnectWise
ConnectWise اعلام کرد دسترسی به سامانه پشتیبان‌گیری ابری خود را متوقف کرده و در حال بررسی نفوذ است. این شرکت در 22 اکتبر گفت برای بازگرداندن سرویس تلاش می‌کند. منبع نام مشتریان آسیب‌دیده را اعلام نمی‌کند، نمی‌گوید چند حساب با موفقیت مورد دسترسی قرار گرفته‌اند و مشخص نمی‌کند مهاجمان به چه داده‌هایی دست یافته‌اند.
گزارش مایکروسافت نشان می‌دهد چگونه سرقت اعتبارنامه‌ها می‌تواند نفوذ به یک ارائه‌دهنده خدمات را به راهی برای دسترسی به سامانه‌های خود مشتریان تبدیل کند. بااین‌حال، سرعت گزارش‌شده تلاش‌های ورود به‌تنهایی نشان نمی‌دهد که همه سازمان‌های هدف مورد نفوذ قرار گرفته‌اند.
چرا مهم است
برای شرکت‌هایی که حساب‌های میزبانی‌شده توسط مایکروسافت را به سرویس پشتیبان‌گیری ConnectWise متصل می‌کنند، اعتبارنامه‌های دزدیده‌شده می‌توانند ایمیل‌ها و فایل‌های دیگر را فراتر از سامانه پشتیبان‌گیری در معرض دسترسی قرار دهند. منبع مشتریان آسیب‌دیده را معرفی نمی‌کند و تأیید نمی‌کند داده‌های چند سازمان مورد دسترسی قرار گرفته‌اند؛ بنابراین دامنه واقعی نفوذ همچنان نامشخص است.
