Китайские хакеры шпионили за тысячами компаний после взлома ConnectWise

Хакеры, связанные с китайским государством, взломали облачный сервис резервного копирования ConnectWise — поставщика программного обеспечения для IT-управления и удалённого доступа — и затем шпионили за тысячами организаций-клиентов. Об этом в четверг, 22 октября, сообщили исследователи безопасности Microsoft. Инцидент важен тем, что пострадали компании, доверившие резервное копирование своих данных стороннему сервису.

Как проходила атака

По данным Microsoft, злоумышленники похитили учётные данные приложений, с помощью которых ConnectWise устанавливает каналы передачи данных со своими корпоративными клиентами. Имея эти данные, они могли входить в размещённую у Microsoft среду клиента как авторизованные пользователи и получать доступ к электронной почте и другим файлам.

Хакеры использовали ИИ-агентов, чтобы быстро проникнуть примерно в 2250 организаций, делая почти 3000 попыток входа в минуту. В Microsoft заявили, что такая скорость оставляет защитникам «мало времени на обнаружение и реагирование».

Использованный инструмент

Скорость массовых взломов объясняют применением ARTEX — ИИ-фреймворка с открытым исходным кодом, который работает вместе с ИИ-моделями и предназначен для проверки устойчивости киберзащиты. То же программное обеспечение использовали при недавнем взломе финансовых систем Южной Кореи, многие из которых были слабо защищены и не имели многофакторной аутентификации.

Действия ConnectWise

ConnectWise сообщила, что приостановила доступ к облачной системе резервного копирования и расследует взлом. По состоянию на четверг компания заявила, что работает над восстановлением сервиса.