Группа Storm-0940 использовала AI-агентов и доступ ConnectWise для атак на Microsoft 365

Группу Storm-0940 Microsoft связывает с Китаем и отслеживает как минимум с 2021 года. В этой кампании она использовала ARTEX, открытый фреймворк для пентестов на Go. Его AI-агенты автоматизируют разведку, поиск уязвимостей, атаки на учётные данные и действия после получения доступа. По наблюдениям Microsoft, группа применяла инструмент с сентября против организаций в разных странах, включая государственные учреждения, оборонных подрядчиков и банки. Сами приёмы знакомы специалистам по безопасности; агенты помогли быстрее проходить этапы атаки.

С 10 по 14 октября атакующие сделали более 151 тысячи неудачных попыток входа в 327 учётных записей восьми организаций. Microsoft не зафиксировала успешных входов в этой серии password spraying, то есть перебора распространённых паролей для множества аккаунтов. Затем группа переключилась на скомпрометированные идентификаторы приложений ConnectWise. Вендор обнаружил несанкционированный доступ к ним и остановил сервисы Cloud Backup, SaaS Security и Cloud Management.

Доступ через приложение работает иначе, чем вход сотрудника: клиент уже выдал сервису ConnectWise разрешения в своей среде Microsoft 365, и атакующие могли использовать их без интерактивной авторизации пользователя. С помощью ARTEX группа пыталась пройти аутентификацию более чем в 2250 tenants, то есть отдельных средах организаций в Microsoft 365. В отдельные моменты Microsoft наблюдала до 2900 попыток в минуту. Число tenants здесь описывает охват попыток, а не количество подтверждённых взломов.

После входа активность продолжалась через Microsoft Graph, API для работы с данными и настройками Microsoft 365. Microsoft наблюдала разведку, изменения учётных данных приложений и попытки изменить привилегии. Последние особенно существенны: закрепив дополнительные права, атакующий может сохранить доступ и после отзыва исходных учётных данных. В отдельных случаях путь от выбора цели до привилегированного доступа к облаку занимал меньше трёх часов.

Большинство попыток аутентификации провалилось, но, по данным Microsoft, группа закрепила постоянный привилегированный доступ в нескольких организациях. Компания не раскрыла точное число пострадавших клиентов и не установила публично, были ли похищены данные; успешный вход сам по себе этого не доказывает. Глава ConnectWise Мэнни Ривело сообщил, что затронутые подключения приложений ограничили и сервисы постепенно восстанавливают. Отключение подключений, однако, само по себе не устраняет доступ, который уже был создан внутри среды клиента.