Взлом ConnectWise открыл хакерам доступ примерно к 2250 организациям

Связанные с Китаем хакеры после компрометации облачного сервиса резервного копирования ConnectWise получили доступ к средам около 2250 организаций. Microsoft сообщила, что атака шла с темпом почти 3000 попыток входа в минуту; злоумышленники использовали ИИ-агентов и похищенные учётные данные приложений.

Как развивалась атака

По оценке исследователей Microsoft, злоумышленники проникли в сервис облачного резервного копирования ConnectWise и украли application credentials. Эти данные применяются для установки связей между платформой ConnectWise и корпоративными клиентами, которые используют сервис для бэкапа собственных данных.

С украденными учётными данными атакующие могли авторизоваться в размещённой у Microsoft среде клиента, выдавая себя за разрешённого пользователя. Это открывало им доступ к электронной почте и другим файлам организаций.

Microsoft связала высокую скорость массовых попыток входа с применением ИИ-агентов. При почти 3000 попыток в минуту у защитников остаётся мало времени, чтобы заметить активность и отреагировать на неё.

Роль ARTEX и действия ConnectWise

В атаке использовался ARTEX — открытый ИИ-фреймворк, который работает с моделями ИИ для стресс-тестирования средств киберзащиты. Microsoft указала, что именно такие агенты позволили быстро атаковать примерно 2250 организаций.

Этот же программный инструмент применялся при недавней компрометации финансовых систем Южной Кореи. В том случае часть систем имела слабую защиту и не использовала многофакторную аутентификацию.

ConnectWise сообщила, что приостановила доступ к облачной системе резервного копирования и расследует инцидент. По состоянию на четверг компания работала над восстановлением сервиса.

Что проверить компаниям

Инцидент показывает практический риск интеграционных учётных данных, которые связывают поставщика ИТ-услуг с инфраструктурой клиента. Компаниям, использующим такие подключения, важно проверить активные сервисные учётные записи, их разрешения и признаки необычных входов в почту и файловые хранилища.

Также необходимо убедиться, что для доступных сценариев включена многофакторная аутентификация. При атаке через поставщика скорость автоматизированных попыток входа делает своевременное обнаружение и ограничение прав доступа критически важными.