Útok přes ConnectWise zasáhl tisíce firem; hackeři využili AI agenty
Čínští hackeři podle bezpečnostních výzkumníků Microsoftu pronikli do cloudové zálohovací služby ConnectWise a ukradli přístupové údaje zákazníků. Pomocí AI agentů se pak pokoušeli rychle pronikat do prostředí přibližně 2 250 organizací.
Ukradené přístupové údaje
Útočníci podle výzkumníků Microsoftu napadli cloudovou zálohovací službu společnosti ConnectWise. Získali přihlašovací údaje aplikací, které slouží k propojení ConnectWise s firemními zákazníky. Ti službu využívají k zálohování firemních dat.
Odcizené údaje mohly útočníkům umožnit přihlásit se do prostředí zákazníků hostovaných u Microsoftu, a to způsobem, který vypadal jako přístup oprávněného uživatele. Následně mohli získat přístup k e-mailům a dalším souborům. Článek neuvádí, jaké konkrétní informace byly u jednotlivých organizací skutečně zpřístupněny.
Tisíce pokusů za minutu
Microsoft uvádí, že hackeři pronikli přibližně do 2 250 organizací. Při útoku prováděli téměř 3 000 pokusů o přihlášení za minutu. Taková rychlost podle společnosti nechává obráncům jen málo času na to, aby podezřelou aktivitu odhalili a zareagovali.
Za zrychlením útoků podle Microsoftu stály AI agenti. Ti umožnili provádět hromadné pokusy ve velkém tempu. Nejde tedy jen o samotné prolomení služby ConnectWise: odcizené údaje mohly útočníkům otevřít cestu do prostředí dalších firem, které službu používaly.
Použitý nástroj ARTEX
Microsoft spojil útoky s nástrojem ARTEX, což je open-source framework, který pracuje s modely umělé inteligence a slouží k zátěžovému testování kybernetické obrany. Podle článku útočníci využili AI agenty k rychlému provádění průniků. Samotný ARTEX je však popisován jako nástroj pro testování zabezpečení; podklad neuvádí, že by byl vytvořen přímo pro kybernetické útoky.
Stejný software byl podle článku použit také při nedávném narušení finančních systémů v Jižní Koreji. Některé z napadených systémů měly slabé zabezpečení a chybělo jim vícefaktorové ověřování. Jde o příklad toho, jak může automatizace zvýšit tempo útoků, zejména když obrana není dostatečně silná.
ConnectWise službu pozastavil
ConnectWise uvedl, že přístup ke svému cloudovému zálohovacímu systému pozastavil a incident vyšetřuje. Ve čtvrtek podle článku společnost pracovala na obnovení služby. Zveřejněné informace neupřesňují, kdy bude systém znovu dostupný ani zda se podaří obnovit provoz v plném rozsahu.
Případ ukazuje, že napadení služby používané pro správu či zálohování může mít dopad i na její zákazníky. V tomto případě se útočníci dostali k údajům určeným pro propojení systémů a pokoušeli se s jejich pomocí získat přístup k firemním účtům a datům. Microsoft v souvislosti s rychlostí pokusů upozornil, že obránci mají na jejich zachycení jen krátký čas.