Hackare med koppling till den kinesiska staten tog sig in i ConnectWises molnbaserade säkerhetskopieringstjänst och stal inloggningsuppgifter som används för att ansluta tjänsten till kundernas system, uppger säkerhetsforskare på Microsoft. Uppgifterna kan ha gjort det möjligt för angriparna att ta sig in i kundernas Microsoft-miljöer som behöriga användare och komma åt e-post och andra filer.
Enligt Microsoft använde hackarna AI-agenter för att göra nästan 3 000 inloggningsförsök i minuten mot omkring 2 250 organisationer. Siffran gäller inloggningsförsök; källan uppger inte hur många som lyckades eller vilka organisationer som drabbades.
Så gick intrånget till
De stulna applikationsuppgifterna kopplar ConnectWises säkerhetskopieringstjänst till företagskundernas konton. När angriparna väl hade tagit sig in i en kunds Microsoft-miljö kunde de komma åt data där, inte bara säkerhetskopiorna hos ConnectWise.
Microsoft tillskrev kampanjens höga tempo ARTEX, ett AI-ramverk med öppen källkod som är utformat för att användas tillsammans med AI-modeller för att stresstesta cyberförsvar. Enligt källan användes samma programvara vid ett nyligt intrång i Sydkoreas finansiella system, där många organisationer uppges ha haft svagt skydd och saknat multifaktorautentisering. Källan ger inga tekniska detaljer om hur ARTEX användes i något av fallen.
ConnectWises svar
ConnectWise uppgav att företaget hade pausat åtkomsten till sitt molnbaserade säkerhetskopieringssystem och utredde intrånget. Den 22 oktober meddelade företaget att det arbetade med att återställa tjänsten. Källan namnger inte drabbade kunder, uppger inte hur många konton som angriparna lyckades komma åt eller specificerar vilka uppgifter de fick tag på.
Microsofts beskrivning visar hur stulna inloggningsuppgifter kan göra ett intrång hos en tjänsteleverantör till en väg in i kundernas egna system. Men det rapporterade tempot i inloggningsförsöken visar inte i sig att alla organisationer som angreps blev hackade.
Varför det spelar roll
För företag som kopplar Microsoft-konton till ConnectWises säkerhetskopieringstjänst kan stulna inloggningsuppgifter ge åtkomst till e-post och andra filer utanför säkerhetskopieringssystemet. Källan namnger inte drabbade kunder och bekräftar inte hur många organisationer angriparna kom åt, så den faktiska omfattningen är fortfarande oklar.
