The Pulse
Microsoft collega l’attacco a ConnectWise al gruppo Storm-0940, allineato alla Cina
Microsoft attribuisce la compromissione della catena di fornitura di ConnectWise Cloud Backup a Storm-0940, un gruppo allineato allo Stato cinese che ha usato ARTEX per accelerare gli attacchi agli ambienti Microsoft 365 dei clienti. Connec
AI.info Team · Scritto con l’IA · verificato ·
Microsoft indica Storm-0940; ConnectWise interviene
Microsoft attribuisce la compromissione della catena di fornitura di ConnectWise Cloud Backup a Storm-0940, un gruppo allineato allo Stato cinese, e afferma che gli aggressori hanno usato il framework di IA ARTEX per accelerare le operazioni negli ambienti Microsoft 365. Nell’avviso aggiornato il 22 ottobre, ConnectWise afferma che, secondo la propria valutazione, basata in parte sulle informazioni fornite da Microsoft, un gruppo allineato alla Cina sembra essere responsabile. Le due aziende distinguono nettamente tra il servizio compromesso e ciò che resta da accertare: ConnectWise afferma che i suoi archivi di backup conservati non mostrano indizi di compromissione, mentre Microsoft descrive attività sospette all’interno di più tenant dei clienti.
Nel rapporto del 21 ottobre, Microsoft afferma che Storm-0940 aveva usato ARTEX già da settembre per automatizzare attacchi contro centinaia di organizzazioni nel mondo. Secondo la sua valutazione, il gruppo era responsabile della compromissione, resa nota di recente, di un’applicazione multi-tenant di ConnectWise. Microsoft precisa che il rapporto riguarda l’abuso delle credenziali dell’applicazione ConnectWise, non una vulnerabilità o una compromissione dei propri sistemi.
Gli agenti di IA hanno accelerato l’accesso tramite applicazioni attendibili
ARTEX è un framework open source per test di penetrazione multi-agente, scritto in Go, che può usare diversi modelli di IA. Microsoft lo descrive come uno strumento capace di automatizzare i flussi di lavoro, dalla ricognizione all’esfiltrazione dei dati, con un intervento umano minimo. Nella campagna contro ConnectWise, gli agenti hanno accelerato la scansione, la ricognizione, i tentativi di accesso con password spraying e l’uso improprio delle applicazioni OAuth negli ambienti a valle.
Questo percorso è importante perché le applicazioni ConnectWise disponevano già delle autorizzazioni per accedere ai tenant Microsoft 365 dei clienti. Secondo Microsoft, gli aggressori hanno sfruttato questa relazione di fiducia preesistente per autenticarsi senza che un utente effettuasse un accesso interattivo. In alcuni ambienti interessati, gli agenti sono passati a operazioni su Microsoft Graph e sulle directory, tra cui ricognizione, modifiche alle credenziali delle applicazioni e tentativi di alterare identità, gruppi e ruoli privilegiati.
«La presenza di un’applicazione interessata o un’autenticazione riuscita da parte degli aggressori non indica necessariamente che i dati dei clienti siano stati consultati o esfiltrati», scrivono Microsoft Security Research e Microsoft Threat Intelligence, autori del rapporto.
Microsoft afferma di aver trovato prove di attività successive in più ambienti dei clienti, ma non sostiene che ogni autenticazione interessata abbia portato all’accesso ai dati o al loro furto.
Microsoft distingue i dati sul password spraying
Microsoft descrive inoltre una campagna automatizzata di password spraying condotta tra il 10 e il 14 ottobre. Ha preso di mira 327 account presso otto organizzazioni e ha generato più di 151.000 eventi di accesso non riuscito; Microsoft afferma di non aver osservato, durante quella campagna, autenticazioni riuscite, emissioni di token, chiamate a Graph o modifiche alle directory. Il rapporto colloca quell’attività prima della compromissione di ConnectWise, senza presentarla come prova che quei tentativi di password spraying siano riusciti.
Separatamente, Microsoft afferma che Storm-0940 ha usato ARTEX per tentare l’accesso a più di 2.250 tenant dopo aver ottenuto le credenziali dell’applicazione ConnectWise. L’azienda avverte che il volume e la velocità delle operazioni assistite dall’IA possono lasciare a chi si occupa della difesa poco tempo per esaminare gli avvisi e rimuovere gli accessi non autorizzati. Aggiunge che alcuni attacchi condotti con ARTEX contro organizzazioni hanno consentito di ottenere accesso privilegiato al cloud in meno di tre ore.
Il ripristino non chiarisce l’esposizione dei singoli tenant
ConnectWise afferma di aver individuato un accesso non autorizzato alle credenziali delle applicazioni associate a Cloud Backup. In un aggiornamento del 20 ottobre, l’azienda ha dichiarato di aver completato la reimpostazione completa di tutti gli account e di tutte le credenziali nell’ambiente Cloud Backup interessato. Nell’aggiornamento del 21 ottobre alle 12:45 UTC ha comunicato che il ripristino graduale era iniziato e avrebbe potuto richiedere diversi giorni; i partner devono mantenere disabilitate le connessioni interessate finché non riceveranno istruzioni formali.
Nell’aggiornamento del 21 ottobre alle 00:30 UTC, ConnectWise ha comunicato che Cloud Backup, SaaS Security e Cloud Management rimanevano sospesi. L’azienda afferma che gli archivi di backup esistenti restano cifrati e isolati, senza indizi di compromissione. Questa constatazione non chiarisce se si sia verificato un accesso al tenant Microsoft 365 attivo di un cliente o se questo sia stato alterato: secondo l’azienda, ogni tenant di partner e clienti richiede ancora una verifica specifica.
Microsoft consiglia agli amministratori di esaminare gli accessi dei service principal, le modifiche alle credenziali delle applicazioni, le autorizzazioni e l’attività delle directory, e di conservare i log pertinenti durante le indagini. Anche ConnectWise invita i partner a verificare i propri tenant e quelli dei clienti che gestiscono. Il ripristino del servizio e le indagini sui tenant sono passaggi distinti; il ripristino della piattaforma del fornitore non stabilisce, di per sé, se un accesso non autorizzato sia persistito nell’ambiente di un cliente.