Microsoft: útočník se přes ConnectWise pokusil přihlásit do více než 2 250 cloudových tenantů

Skupina sledovaná Microsoftem pod označením Storm-0940 se při útocích přes kompromitovanou víceuživatelskou aplikaci ConnectWise pokusila přihlásit do více než 2 250 cloudových tenantů. Microsoft její kampaň spojuje s nedávno zveřejněným dodavatelským kompromitováním ConnectWise a uvádí, že v několika případech útočníci získali privilegovaný přístup ke cloudové infrastruktuře napadených organizací.

Podle bezpečnostního blogu Microsoftu skupina při operaci využila agentní AI nástroj ARTEX. Ten měl útočníkům pomáhat provádět rozsáhlou kampaň zaměřenou na přihlašování do cloudových prostředí. Microsoft nespecifikuje, kolik z více než 2 250 pokusů o přihlášení bylo úspěšných. Potvrzuje pouze několik případů, kdy útok vedl k získání vyšších oprávnění.

Od prvního cílení k privilegovanému přístupu za méně než tři hodiny

Microsoft upozorňuje především na rychlost některých incidentů. Ve více případech podle něj doba mezi prvním zaměřením organizace a získáním privilegovaného přístupu nepřesáhla tři hodiny. Takový přístup může útočníkovi umožnit ovládat podstatnou část cloudového prostředí organizace, podle rozsahu a typu získaných oprávnění.

Podstatou popsaného incidentu je problém v dodavatelském řetězci. Namísto samostatného útoku na každého zákazníka měla skupina využít kompromitaci víceuživatelské aplikace ConnectWise. Tento typ aplikace pracuje pro více zákaznických prostředí, a může proto vytvořit cestu k většímu počtu tenantů v jediné kampani.

Microsoft ve zveřejněném popisu uvádí, že Storm-0940 byl za kompromitaci ConnectWise odpovědný. Jde ovšem o tvrzení bezpečnostního týmu Microsoftu, nikoli o nezávisle ověřený závěr.

AI pomohla se škálováním útoku

Microsoft označuje operaci za rozsáhlou kampaň řízenou státním aktérem s využitím AI. Z dostupného popisu nevyplývá, jaké konkrétní činnosti ARTEX automatizoval ani jak útočníci získávali přístupová oprávnění v jednotlivých případech. Jisté je, že Microsoft spojuje jeho nasazení s pokusy zasáhnout tisíce cloudových tenantů.

Pro zákazníky a poskytovatele víceuživatelských cloudových aplikací případ ukazuje riziko, které vzniká při kompromitaci společně používané služby. Útočník nemusí postupovat izolovaně proti jednotlivým firmám: napadený dodavatelský článek mu může umožnit rychle cílit na velký počet oddělených cloudových prostředí.