AI ASSISTANTКитайські хакери через злам ConnectWise атакували понад 2250 компаній за допомогою ШІ-агентів
Microsoft пов'язала злам хмарного бекапу ConnectWise з китайською групою Storm-0940. Через викрадені облікові дані застосунків ШІ-агенти робили до 2900 спроб входу на хвилину і подекуди за три години отримували привілейований доступ до Microsoft 365 клієнтів.
Що сталося
Microsoft пов'язала злам ConnectWise, американського постачальника інструментів для керування ІТ і віддаленого доступу, з китайським угрупованням Storm-0940. За даними Microsoft Threat Intelligence, зловмисники отримали облікові дані застосунків сервісу ConnectWise Cloud Backup — тих самих, через які сервіс підключений до Microsoft 365 клієнтів, щоб робити резервні копії пошти й файлів. З цими даними можна було заходити в хмарні середовища компаній від імені довіреного застосунку, без входу будь-якого співробітника.
ConnectWise опублікувала перше попередження про спроби несанкціонованого доступу 16 жовтня. Згодом компанія вимкнула Cloud Backup, SaaS Security і Cloud Management, а Microsoft 21 жовтня розкрила, хто стоїть за атакою і як вона була влаштована. Станом на 22 жовтня ConnectWise поступово відновлює сервіси.
Атаку вели ШІ-агенти
Головна деталь — швидкість. Storm-0940 використовувала ARTEX, відкритий багатоагентний фреймворк на основі мовних моделей, створений для пентестів, тобто перевірки захисту. Його агенти самі проходять увесь ланцюжок: розвідка, пошук слабких місць, атаки на облікові дані, викрадення даних. Фреймворк працює з будь-якою моделлю і, за даними Microsoft, ним уже користуються угруповання з різних регіонів.
- понад 2250 тенантів Microsoft 365 стали цілями;
- до 2900 спроб входу на хвилину;
- менше трьох годин у деяких випадках минало від вибору жертви до привілейованого доступу в хмарі;
- 10–14 жовтня, до переходу на облікові дані ConnectWise, група зробила понад 151 000 невдалих спроб підібрати паролі до 327 акаунтів у восьми організаціях.
Більшість спроб провалилася, але в багатьох компаніях нападники закріпилися. Через Microsoft Graph агенти змінювали облікові дані застосунків, групи і привілейовані ролі. Microsoft попереджає, що такі зміни можуть «залишатися активними як бекдор» навіть після того, як вихідний застосунок виправлять. Скільки даних викрадено, компанія не повідомляє і наголошує: сам факт входу ще не означає, що інформацію вкрали. Серед цілей — держоргани, оборонні та енергетичні компанії, банки, виробники напівпровідників.
Чому це важливо
Компанії роками налаштовували двофакторну автентифікацію для людей, а інтеграції з підрядниками часто мають широкі права і ніхто за ними не стежить. Тут атака йшла саме через такий «службовий вхід», де MFA не спрацьовує. Аналітик IDC Іх Кхай Вонг зауважив, що такий темп «не встигне відстежити жодна черга аналітиків», тож блокування підозрілих облікових даних і токенів варто автоматизувати.
Для ConnectWise це не перший інцидент: у травні 2025 року компанія повідомляла, що державні хакери зламали кількох клієнтів її сервісу ScreenConnect. Зв'язку між двома випадками поки не встановлено.
Перевірте, яким зовнішнім сервісам ваша компанія надала доступ до Microsoft 365 чи Google Workspace: резервне копіювання, CRM, сервіси підписів, ШІ-асистенти. Кожну таку інтеграцію варто вважати привілейованим акаунтом — мінімум прав, регулярний перегляд, зрозумілий план відкликання. Якщо ви користуєтеся ConnectWise, Microsoft радить не видаляти застосунки поспіхом, а зберегти журнали Entra і переглянути активність щонайменше з 15 жовтня.
Джерела
CTO AI Assistant Agency.
Як ми готуємо новини: агент щодня збирає події з першоджерел і пише чернетку, редактор перевіряє факти й вирішує, чи публікувати.