Хакеры, связанные с китайским государством, взломали облачный сервис резервного копирования ConnectWise и похитили учетные данные, с помощью которых сервис подключается к системам клиентов. Об этом сообщили исследователи Microsoft в области безопасности. Эти данные могли позволить злоумышленникам входить в размещенные на платформах Microsoft среды клиентов от имени авторизованных пользователей и получать доступ к электронной почте и другим файлам.
По данным Microsoft, хакеры использовали ИИ-агентов, чтобы совершать почти 3 000 попыток входа в минуту, атакуя около 2 250 организаций. Эта цифра отражает количество попыток входа: источник не сообщает, сколько из них оказались успешными, и не называет пострадавшие организации.
Как произошел взлом
Похищенные учетные данные приложения связывали сервис резервного копирования ConnectWise с корпоративными аккаунтами клиентов. Получив доступ к среде Microsoft клиента, злоумышленники могли просматривать хранящиеся там данные, а не только резервные копии на серверах ConnectWise.
Microsoft объяснила высокую скорость атаки использованием ARTEX — фреймворка с открытым исходным кодом, который работает с моделями ИИ и предназначен для стресс-тестирования киберзащиты. В источнике говорится, что это же программное обеспечение применялось при недавнем взломе финансовых систем Южной Кореи. По имеющимся данным, у многих организаций там была слабая защита и отсутствовала многофакторная аутентификация. Технических подробностей о том, как ARTEX использовали в обоих случаях, источник не приводит.
Реакция ConnectWise
В ConnectWise сообщили, что приостановили доступ к облачному сервису резервного копирования и расследуют взлом. 22 октября компания сообщила, что работает над восстановлением сервиса. Источник не называет затронутых клиентов, не сообщает, сколько аккаунтов удалось успешно взломать, и не уточняет, какие данные получили злоумышленники.
Из сообщения Microsoft следует, что похищенные учетные данные могут превратить взлом сервиса поставщика в путь к системам его клиентов. Однако сообщаемая скорость попыток входа сама по себе не доказывает, что взломали каждую организацию, ставшую целью атаки.
Почему это важно
У компаний, чьи аккаунты на платформах Microsoft подключены к сервису резервного копирования ConnectWise, похищенные учетные данные могли открыть доступ к электронной почте и другим файлам за пределами системы резервного копирования. Источник не называет пострадавших клиентов и не подтверждает, у скольких организаций злоумышленники получили доступ к данным, поэтому реальный масштаб последствий остается неясным.
