Китайские хакеры получили доступ к облачному сервису резервного копирования ConnectWise и использовали украденные учетные данные для проникновения в системы тысяч компаний. Об атаке, затронувшей около 2250 организаций, сообщили исследователи Microsoft. Фотография опубликована TechCrunch.
ConnectWise предоставляет корпоративным клиентам инструменты управления ИТ-инфраструктурой и удаленного доступа. Злоумышленники взломали его облачную систему резервного копирования и похитили реквизиты приложений, через которые сервис связывается с корпоративными средами заказчиков. Эти данные позволяли входить в размещенные Microsoft системы под видом авторизованных пользователей.
Получив такой доступ, хакеры могли просматривать электронную почту и другие файлы клиентов. По данным Microsoft, атака разворачивалась с использованием ИИ-агентов. Они выполняли почти 3000 попыток входа в минуту, из-за чего у специалистов по защите оставалось мало времени на обнаружение и блокировку действий злоумышленников.
Для автоматизации взлома применялась ARTEX — открытая платформа с искусственным интеллектом, предназначенная для проверки устойчивости киберзащиты. Она взаимодействует с ИИ-моделями и ускоряет проведение подобных операций. Ранее это же программное обеспечение использовали при атаке на финансовые системы Южной Кореи.
В Microsoft связали успешность той атаки с недостаточным уровнем защиты ряда южнокорейских организаций и отсутствием многофакторной аутентификации. В случае с ConnectWise применение ARTEX позволило злоумышленникам быстро масштабировать попытки проникновения сразу на большое число компаний. Хакеры действовали в интересах китайского государства, считают исследователи Microsoft.
После обнаружения инцидента ConnectWise приостановила доступ к облачной системе резервного копирования и начала расследование. Компания также приступила к восстановлению работы сервиса, сообщив об этом в четверг.