Китайские хакеры получили доступ к облачному сервису резервного копирования ConnectWise и использовали украденные учетные данные для атак на тысячи организаций. Об этом сообщила Microsoft, а подробности распространил сайт TechCrunch. Инцидент затронул компании, которые применяют ConnectWise для сохранения корпоративных данных.
Злоумышленники похитили реквизиты приложений, обеспечивающих обмен данными между ConnectWise и его клиентами. С их помощью они могли входить в размещенную у Microsoft инфраструктуру заказчиков под видом авторизованных пользователей. Это открывало доступ к электронной почте и другим файлам.
По оценке Microsoft, связанная с Китаем хакерская группировка атаковала около 2250 организаций. За одну минуту она предпринимала почти 3000 попыток входа. В Microsoft заявили, что такая скорость оставляет специалистам по защите «мало времени для обнаружения атаки и реагирования на нее».
Для ускорения взломов применялись агенты искусственного интеллекта. Исследователи связали атаки с ARTEX — открытой платформой искусственного интеллекта для проверки устойчивости киберзащиты. Ранее это же программное обеспечение использовали при атаке на финансовые системы Южной Кореи.
В ходе того инцидента у многих южнокорейских организаций были выявлены слабые меры безопасности, включая отсутствие многофакторной аутентификации. Microsoft охарактеризовала нынешнюю кампанию как действия хакеров, связанных с государством Китая. Компания ConnectWise приостановила доступ к системе облачного резервного копирования и начала расследование.
К четвергу ConnectWise занималась восстановлением работы сервиса. Компания не сообщила о завершении этих работ. Информация о взломе была опубликована после того, как специалисты Microsoft рассказали о компрометации облачной инфраструктуры и последующем использовании похищенных учетных данных.