Hackers die gelieerd zijn aan de Chinese staat drongen binnen in de cloudback-updienst van ConnectWise en stalen inloggegevens waarmee de dienst verbinding maakt met de systemen van klanten, zeggen beveiligingsonderzoekers van Microsoft. Met die gegevens konden de aanvallers als geautoriseerde gebruikers toegang krijgen tot Microsoft-omgevingen van klanten en bij e-mail en andere bestanden komen.
Volgens Microsoft gebruikten de hackers AI-agenten om bijna 3.000 inlogpogingen per minuut uit te voeren tegen ongeveer 2.250 organisaties. Dat cijfer gaat over pogingen om in te loggen; de bron zegt niet hoeveel daarvan zijn geslaagd en noemt niet welke organisaties zijn getroffen.
Zo werkte het datalek
De gestolen applicatie-inloggegevens verbinden de back-updienst van ConnectWise met zakelijke klantaccounts. Eenmaal binnen in de Microsoft-omgeving van een klant konden de aanvallers daar gegevens bekijken, in plaats van alleen de back-ups die ConnectWise beheert.
Microsoft schrijft het hoge tempo van de aanval toe aan ARTEX, een open-source AI-framework dat is ontworpen om met AI-modellen cyberbeveiliging te testen. Volgens de bron is dezelfde software gebruikt bij een recente inbraak in de financiële systemen van Zuid-Korea, waar veel organisaties naar verluidt zwakke beveiliging hadden en geen multifactorauthenticatie gebruikten. De bron geeft geen technische details over het gebruik van ARTEX bij een van beide incidenten.
Reactie van ConnectWise
ConnectWise zei de toegang tot zijn cloudback-upsysteem te hebben stilgelegd en het datalek te onderzoeken. Op October 22 zei het bedrijf dat het werkte aan het herstel van de dienst. De bron noemt geen getroffen klanten, zegt niet hoeveel accounts daadwerkelijk zijn benaderd en vermeldt niet welke gegevens de aanvallers hebben buitgemaakt.
De beschrijving van Microsoft laat zien hoe gestolen inloggegevens een inbraak bij een dienstverlener kunnen veranderen in een toegangspoort tot de eigen systemen van klanten. Het gemelde tempo van de inlogpogingen bewijst op zichzelf echter niet dat elke doelorganisatie is gehackt.
Waarom het ertoe doet
Voor bedrijven die Microsoft-accounts koppelen aan de back-updienst van ConnectWise, kunnen gestolen inloggegevens toegang geven tot e-mail en andere bestanden buiten het back-upsysteem. De bron noemt geen getroffen klanten en bevestigt niet bij hoeveel organisaties gegevens zijn ingezien. De daadwerkelijke omvang van de aanval blijft dus onduidelijk.
