Hacker legati allo Stato cinese hanno violato il servizio di backup cloud di ConnectWise e rubato le credenziali usate per collegarlo ai sistemi dei clienti, secondo i ricercatori di sicurezza di Microsoft. Queste credenziali potrebbero consentire agli aggressori di accedere agli ambienti dei clienti ospitati da Microsoft come utenti autorizzati e raggiungere email e altri file.
Microsoft afferma che gli hacker hanno usato agenti IA per effettuare quasi 3.000 tentativi di accesso al minuto contro circa 2.250 organizzazioni. Il dato indica i tentativi di accesso: la fonte non specifica quanti siano andati a buon fine né identifica le organizzazioni colpite.
Come è avvenuta la violazione
Le credenziali applicative rubate collegano il servizio di backup di ConnectWise agli account aziendali dei clienti. Una volta entrati nell’ambiente Microsoft di un cliente, gli aggressori potevano accedere ai dati presenti al suo interno, non soltanto ai backup conservati da ConnectWise.
Microsoft attribuisce la rapidità della campagna ad ARTEX, un framework IA open source progettato per lavorare con modelli di intelligenza artificiale e mettere alla prova le difese informatiche. La fonte riferisce che lo stesso software è stato usato in una recente compromissione dei sistemi finanziari della Corea del Sud, dove, secondo quanto riportato, molte organizzazioni avevano difese deboli e non disponevano dell’autenticazione a più fattori. Non fornisce dettagli tecnici sull’uso di ARTEX in nessuno dei due episodi.
La risposta di ConnectWise
ConnectWise ha dichiarato di aver sospeso l’accesso al proprio sistema di backup cloud e di stare indagando sulla violazione. Il 22 ottobre, l’azienda ha detto che stava lavorando per ripristinare il servizio. La fonte non indica i clienti interessati, non specifica quanti account siano stati effettivamente violati né quali dati siano stati sottratti dagli aggressori.
Il resoconto di Microsoft evidenzia come il furto di credenziali possa trasformare la violazione di un fornitore di servizi in una via d’accesso ai sistemi dei suoi clienti. Tuttavia, il ritmo segnalato dei tentativi di accesso non dimostra, da solo, che tutte le organizzazioni prese di mira siano state violate.
Perché conta
Per le aziende che collegano gli account ospitati da Microsoft al servizio di backup di ConnectWise, le credenziali rubate potrebbero esporre email e altri file al di fuori del sistema di backup. La fonte non identifica i clienti colpiti né conferma quante organizzazioni abbiano subito l’accesso ai propri dati, quindi la portata effettiva resta incerta.
