Proboj ConnectWise backupa otvorio pristup hiljadama organizacija
Kineski hakeri povezani s državom kompromitovali su cloud servis za rezervne kopije kompanije ConnectWise i ukrali aplikacione kredencijale koji povezuju servis sa korisničkim okruženjima. Microsoft navodi da je napad zahvatio približno 2.250 organizacija, uz gotovo 3.000 pokušaja prijave u minuti, a napadači su koristili AI agente.
Ukradeni kredencijali kao ulaz u korisnička okruženja
ConnectWiseov cloud backup koriste kompanije za čuvanje rezervnih kopija podataka. Kredencijali ukradeni iz ovog servisa služe za uspostavljanje veza za prenos podataka između ConnectWisea i njegovih korporativnih korisnika.
Posedovanje tih kredencijala napadačima je omogućilo da se prijave u Microsoftovo okruženje korisnika kao da su ovlašćeni korisnici. Time su mogli da pristupe e-pošti i drugim datotekama. Incident zato ne ostaje ograničen na kompromitovani servis dobavljača, već se prostire na okruženja organizacija koje se na njega oslanjaju.
AI agenti ubrzali masovne pokušaje prijave
Microsoft je brzinu napada povezao sa AI agentima, posebno sa ARTEX-om, open-source AI okvirom koji radi sa AI modelima za testiranje otpornosti sajber odbrane. Prema Microsoftu, tempo od skoro 3.000 pokušaja prijave u minuti ostavlja braniocima malo vremena za otkrivanje i odgovor.
ARTEX je, prema dostupnim informacijama, korišćen i u nedavnom kompromitovanju finansijskih sistema Južne Koreje, gde su brojni sistemi imali slabu zaštitu i nisu koristili višefaktorsku autentifikaciju. Taj detalj pokazuje zašto brzina automatizovanih pokušaja prijave dodatno povećava značaj kontrole identiteta.
Obustavljena usluga i operativni prioriteti
ConnectWise je saopštio da je pauzirao pristup svom cloud backup sistemu i da istražuje proboj. Kompanija je do četvrtka radila na vraćanju usluge.
Za organizacije koje koriste povezane cloud servise, praktičan zaključak je da proveravaju aplikacione kredencijale i prijave sa neuobičajeno velikim obimom, kao i da dosledno primenjuju višefaktorsku autentifikaciju tamo gde je dostupna. Kada kompromitovani kredencijali omogućavaju prijavu kao ovlašćenom korisniku, zaštita identiteta i brzo uočavanje odstupanja postaju ključni deo poslovnog kontinuiteta.