Agenți AI și credențiale ConnectWise furate, folosiți pentru a sonda peste 2.250 de tenanți Microsoft 365

Un actor de amenințare aliniat unui stat a combinat un framework de agenți AI cu credențiale furate ale unor aplicații ConnectWise pentru a încerca accesul la peste 2.250 de tenanți Microsoft 365. Campania nu s-a bazat pe o vulnerabilitate nouă a Microsoft. S-a folosit de permisiunile pe care clienții le acordaseră deja unor aplicații ConnectWise în care aveau încredere.

Ce s-a întâmplat

Microsoft atribuie activitatea grupării Storm-0940, pe care o urmărește ca fiind aliniată intereselor statului chinez, și arată că operatorii au folosit un framework de penetration testing cu mai mulți agenți, numit ARTEX, pentru a accelera recunoașterea, încercările de autentificare și persistența în tenanții cloud. ARTEX este construit să înlănțuie sarcini de la descoperirea inițială până la exfiltrarea de date, menținând în același timp o hartă conectată a activelor și slăbiciunilor găsite.

Punctul de intrare a fost identitatea de aplicație. În loc să se autentifice ca utilizatori, atacatorii s-au autentificat ca aplicații ConnectWise, cu credențiale obținute într-o etapă anterioară a campaniei. Pentru că autentificările veneau de la un principal de aplicație, nu a existat nicio introducere interactivă de parolă și niciun prompt de autentificare multifactor pe care un om să-l poată refuza. Sistemul de autentificare al Microsoft nu a fost spart. A fost folosit exact așa cum a fost proiectat, cu cheile altcuiva.

Etape anterioare ale aceleiași campanii produseseră deja autentificări neautorizate în 173 de tenanți de parteneri și clienți, după compromiterea unor credențiale de backup ConnectWise. Cifra de 2.250 numără tenanții vizați, nu tenanții compromiși.

Automatizare la viteza mașinii

Cea mai mare parte a activității s-a concentrat într-o fereastră de sub 14 ore, pe 15 octombrie. O singură trecere a parcurs aproape 1.000 de tenanți în ordinea crescătoare a identificatorilor. Rafale separate au trimis aproximativ 100 de cereri de token eșuate în zece secunde, ceea ce indică workeri paraleli care rulau fără să aștepte evaluarea fiecărui răspuns.

Dovada cea mai grăitoare este felul în care uneltele s-au adaptat între rulări. După ce o încărcare de certificat a eșuat din cauza unui thumbprint diferit, o rulare nouă a pornit 55 de secunde mai târziu, cu logică de reîncercare adăugată. A reîncercat după aproximativ 3,5 și 7,1 secunde, apoi a dus secvența corectată într-un alt tenant și a adăugat ambele chei într-o singură trecere. Când o încercare de ștergere a fost refuzată, uneltele au recurs la acordarea rolului Privileged Role Administrator unui principal „frate” și au șters principalul de serviciu original câteva minute mai târziu.

În interiorul tenanților, secretele au fost adăugate, eliminate și restaurate, în paralel cu modificări ale rolurilor privilegiate. Într-un caz, o identitate de aplicație Teams și-a atribuit singură rolul Global Administrator, o ilustrare clară a felului în care accesul unei aplicații de încredere se poate transforma în control administrativ.

Nu totul a părut inteligent. După ștergerea unui principal de serviciu Teams, cererile au continuat să sosească la fiecare patru până la opt secunde încă 22 de minute, un comportament mai apropiat de scripturi nesupravegheate sau sarcini de fundal decât de un operator care reacționează la feedback. Doar pe baza comportamentului, încrederea că un agent AI a fost implicat este scăzută spre medie. Ea crește la medie spre ridicată doar dacă se ia în calcul atribuirea făcută de Microsoft, iar această rezervă merită păstrată: dovezile descriu activitate malițioasă a unor aplicații și unelte de atac, nu o familie de malware nou identificată.

De ce contează

Trei lucruri fac această campanie incomodă pentru apărători.

• Identitățile de aplicație ocolesc controalele construite pentru oameni. MFA, prompturile de acces condiționat și alertele centrate pe utilizator fac prea puțin atunci când actorul este o aplicație înregistrată legitim, cu credențiale valide.
• Vizibilitatea este redusă. Jurnalele de audit Entra nu înregistrează citirile din Microsoft Graph, iar niciuna dintre victimele cunoscute nu avea activată jurnalizarea activității Graph. O autentificare reușită nu poate spune, așadar, ce a fost citit sau sustras. Microsoft însăși separă trei categorii: tenanți vizați, autentificări reușite și acces confirmat la date.
• Cifrele sunt ușor de interpretat greșit. O fază anterioară de password spray a campaniei a înregistrat peste 151.000 de autentificări eșuate asupra a 327 de conturi din opt organizații, cu un vârf de 2.900 de eșecuri pe minut. Acel ritm aparține fazei de spray, nu unui număr de autentificări ConnectWise reușite.

Ce este de făcut

• Alertați la aplicațiile care își acordă singure putere. Orice principal de serviciu care își atribuie Global Administrator sau Privileged Role Administrator, ori care adaugă credențiale neașteptate, merită verificat imediat.
• Stabiliți un comportament de referință pentru identitățile furnizorilor. Învățați ce fac în mod normal aplicațiile ConnectWise și celelalte aplicații terțe și tratați abaterile de IP sursă, user agent sau cadență a cererilor ca incidente.
• Căutați în mai mulți tenanți, nu într-unul singur. O activitate care pare minoră într-un singur mediu devine o campanie evidentă odată corelată între clienți sau departamente.
• Urmați ghidul de izolare al Microsoft. Păstrați conexiunile afectate dezactivate până la publicarea ghidului oficial de restaurare, conservați dovezile înainte de a șterge aplicații și revizuiți credențialele, permisiunile și atribuirile de roluri. Eliminarea căii de acces inițiale poate lăsa credențiale plantate în altă parte.
• Activați jurnalizarea activității Microsoft Graph acolo unde licențierea o permite și investigați activitatea din căsuțele poștale și fișiere împreună cu modificările de identitate.

Indicatori de compromitere

Indicatorii sunt dezamorsați cu [.]. Reactivați-i doar în unelte controlate, precum SIEM-ul sau platforma de threat intelligence.

Oricare ar fi gradul real de implicare a AI, lecția defensivă nu se schimbă: încrederea pe care o acordați aplicațiilor terțe face parte din suprafața voastră de atac. Angajamentele noastre de penetration testing acoperă și stratul de identitate Microsoft 365, inclusiv înregistrările de aplicații, permisiunile principalilor de serviciu și consimțămintele acordate, astfel încât accesul supra-privilegiat al furnizorilor să fie găsit și eliminat înainte ca niște chei furate de la altcineva să-l transforme în control administrativ.