中國黑客利用AI攻擊ConnectWise，波及數百家機構

微軟表示，一個與中國有關聯的黑客組織部署了一款基於AI的滲透測試工具，入侵了ConnectWise，這是其針對全球數百家機構發起的全球行動的一部分。ConnectWise首席執行官Manny Rivelo也發表聲明稱，所有跡象均指向此次對其雲備份系統的攻擊是由受中國政府支持的黑客所爲。

在最初發現攻擊後，ConnectWise立即暫停了其雲備份、SaaS安全和雲管理服務的使用權限。Rivelo隨後確認威脅已得到控制，並正通過分階段、高度管控的方式逐步恢復服務上線。

然而，他警告稱，儘管這些措施保障了ConnectWise自身的安全，但並未清除已被攻陷的單個客戶網絡中的後門，因此必須進行單獨的安全檢查。

微軟確定了肇事者，並認爲該組織應對此次攻擊負責

微軟 認爲 罪魁禍首是Storm-0940，這是一個自2021年以來活躍的網絡間諜組織，積極針對包括國防、航空航天、政府、能源和半導體在內的關鍵行業，以及各類企業和非營利組織。

據該公司研究人員稱，黑客團伙試圖訪問 多個賬戶 通過廣泛的密碼噴灑攻擊，隨後入侵了ConnectWise的雲備份服務。

研究人員發現，Storm-0940在10月14日之前發動了爲期四天的閃電戰，重點瞄準了8家公司中的327個Microsoft 365和Exchange Online賬戶。在此期間，該威脅行爲者據報道發動了大規模的暴力破解攻擊，記錄了超過151,000次失敗的登錄嘗試，峯值達到每分鐘2,900次。

第二天，Storm-0940轉向ConnectWise，利用代理AI工具和相同的網絡基礎設施，突破了多個ConnectWise雲備份用戶的Microsoft 365系統。 

據微軟稱，Storm-0940使用ARTEX（一個開源滲透測試框架）執行了整個操作。微軟指出，ARTEX框架允許操作員接入任何AI模型以自動化 安全測試 並且可以配置爲自主處理網絡偵察和數據外泄等任務。

目前，微軟威脅情報部門認爲，全球更多黑客正蜂擁至ARTEX平臺以增強其攻擊能力。

微軟表示，Storm-0940可能留下了後門，以便他們後續訪問。

據消息人士稱，該組織的大多數攻擊未能成功，但微軟警告稱，Storm-0940仍迅速在多家企業鎖定了高級別訪問權限，這些企業能夠抵禦常規的安全清理措施。

微軟研究人員發現，在某些受影響的系統中，黑客組織的AI代理不僅限於登錄操作；它們還會主動操縱Microsoft Graph來探測目錄結構、篡改應用程序憑據以鎖定訪問權限，並更改身份及高級別角色。

他們還指出，多個客戶環境顯示出明顯的後續活動跡象，這表明具有深層權限的第三方應用被利用後，可被用於訪問其原本無權觸及的區域。 

在調查早期，根據Huntress的說法，攻擊者通過利用ConnectWise Cloud Backup中泄露的單個憑據，獲得了Microsoft 365租戶賬戶的訪問權限。在此階段，這家安全公司確認黑客已成功入侵了162個客戶租戶。

在解釋Huntress如何開展此次漏洞調查時，Huntress首席安全運營分析師Jon Semon表示：“一位Huntress合作伙伴向我們通報了ConnectWise應用程序中的可疑活動。我們隨即開始調查，這演變爲一場涉及多個Huntress團隊的快速響應行動。”

此外，由託管服務提供商使用的安全平臺Todyl也報告稱，其系統同樣遭到了攻擊。該公司表示，威脅行爲者能夠使用有效憑據登錄到Microsoft 365租戶環境。

雖然這看似是一起孤立事件，但事實並非如此。微軟執行副總裁Igor Tsyganskiy指出，除了這起近期事件外，還發生了許多其他由AI驅動的網絡攻擊。“我們剛剛公開了其中一起事件的詳細信息，”他 交易價格低於其200日移動平均線，這是自2022年熊市以來最長的此類時期。.

使用 ConnectWise 雲備份的組織應調查其 Microsoft 365 環境，查找可疑登錄、未經授權的 application 權限以及對管理員賬戶的意外更改。

安全團隊還應審查活動會話，輪換可能泄露的憑據，撤銷可疑令牌，並移除未授權的訪問權限。

由於恢復受影響的服務並不會自動消除客戶網絡中的持久化機制，組織可能需要開展獨立調查，以確定攻擊者在 ConnectWise 遏制初始入侵後是否仍保留了對網絡的訪問權限。

不要只是閱讀加密貨幣新聞，要真正理解它。訂閱我們的通訊。 免費。