Microsoft разкри как свързана с Китай група е използвала AI агенти, за да атакува Microsoft 365 средите на стотици организации с машинна скорост — над 2 900 опита за вход в минута. Входната точка не е била слаба парола на служител, а откраднати данни за достъп на облачно приложение на доставчик — ConnectWise. Случаят е важен за всяка фирма, която е дала на външни инструменти достъп до своя Microsoft 365.
Какво се случи
Microsoft следи групата под името Storm-0940. Тя е активна поне от 2021 г. и е известна с password spraying — масово изпробване на често срещани пароли срещу много акаунти — и с използване на уязвими приложения, достъпни от интернет. От началото на септември групата автоматизира атаките си с Artex — AI рамка с отворен код, създадена за тестове за проникване. По-ранни доклади на CrowdStrike, Zscaler и Recorded Future свързват същата активност с атаки срещу финансови институции в Южна Корея.
В средата на октомври Storm-0940 е използвала Artex, за да проникне в средите на клиенти на ConnectWise — доставчик на инструменти за управление и архивиране, които ИТ фирмите използват за своите клиенти. Според TechCrunch нападателите са пробили облачната услуга за архивиране на ConnectWise и са откраднали данните за достъп, с които тя се свързва с Microsoft 365 средите на клиентите. ConnectWise спря няколко услуги, сред които Cloud Backup, SaaS Security и Cloud Management, и разследва случая.
Как AI промени атаката
Самите техники не са нови: разузнаване, password spraying и злоупотреба с OAuth приложения. Новото е скоростта. По данни на Microsoft AI агентите са атакували над 300 акаунта в осем организации с темп над 2 900 опита в минута, а след неоторизирания достъп са опитали вход в над 2 250 тенанта. При такава скорост защитниците имат много малко време да забележат и да реагират.
В част от средите агентите са стигнали по-далеч от самия вход: операции през Microsoft Graph и директорията, разузнаване, промяна на данните за достъп на приложения и промени по потребители, групи и привилегировани роли. Промяната на данните за достъп на приложенията е най-опасната част — по думите на Microsoft тя осигурява на нападателите достъп дори след като засегнатото приложение бъде почистено.
Урокът: всяко външно приложение с достъп до вашия Microsoft 365 — архивиране, мониторинг, управление — е врата към пощата и файловете ви. Ако доставчикът бъде пробит, MFA на служителите не спира нападателя, защото той влиза с идентичността на приложението.
Какво да проверите в Microsoft 365
В Microsoft Entra ID прегледайте Enterprise applications и App registrations. Премахнете всичко, което не използвате, и проверете какви права имат останалите.
Microsoft препоръчва да се преглеждат входовете на приложенията заедно с последващата активност в Microsoft Graph, промените в директорията и достъпа до ресурси — и да се сравняват с одобрените администраторски действия.
Проверете дали някое приложение не е получило нови данни за достъп, които вашият екип не е добавял. Точно така нападателите запазват достъпа си.
Прегледайте кой има администраторски роли и кога са правени последните промени. Ограничете правото на потребителите сами да одобряват достъп на нови приложения.
Следвайте указанията на доставчика и сменете данните за достъп, които той е използвал към вашата среда.
Изводът
AI не е измислил нови атаки, но ги прави толкова бързи, че ръчното наблюдение вече не стига. Защитата идва от основите: минимален брой приложения с минимални права, автоматични известия при промени в ролите и данните за достъп и редовен преглед на входовете. Ако искате да разберете кои външни инструменти имат достъп до вашия Microsoft 365 и дали някой от тях е рисков, екипът на Defend.bg може да направи този преглед.
