Storm-0940 brukte agentrammeverket ARTEX mot over 2250 Microsoft 365-tenanter via ConnectWise
fredag 23. oktober · KI-generert · Kilde: Microsoft
Gå gjennom service principal-innloggingene i Microsoft 365 fra 15. oktober hvis du har ConnectWise Cloud Backup, for KI-agenter brukte appens stjålne nøkler til å skaffe seg administratortilgang.
2 900 innloggingsforsøk i minuttet mot over 2 250 Microsoft 365-tenanter: det er tempoet Microsoft Threat Intelligence målte da den Kina-tilknyttede gruppen Storm-0940 automatiserte angrepet med agentrammeverket ARTEX, ifølge Microsofts analyse fra 21. oktober. I flere tilfeller tok det under tre timer fra første forsøk til privilegert tilgang i skyen. Microsoft knytter gruppen til bruddet på ConnectWise Cloud Backup (tidligere SkyKick), som ConnectWise varslet om 16. oktober.
ARTEX er et åpent rammeverk for penetrasjonstesting, skrevet i Go med Next.js-frontend. Flere LLM-drevne agenter kjører en hel pentest fra rekognosering til dataeksfiltrering med lite menneskelig innblanding, og rammeverket kan bruke hvilken som helst KI-modell. Microsoft oppgir ikke hvilken modell Storm-0940 brukte.
«Agenter er ikke begrenset av faktorer som påvirker mennesker» — Microsoft Threat Intelligence
Inngangen var ikke en sårbarhet hos Microsoft, men appidentitetene til ConnectWise, som allerede hadde samtykke i kundenes tenanter. I to tenanter Huntress undersøkte, ga appen seg selv Global Administrator og plantet nye hemmeligheter på andre apper for å beholde fotfestet. Huntress bekreftet uautoriserte innlogginger i 162 tenanter per 16. oktober, og fant senere nesten 1 000 tenanter med innloggingsforsøk fra angriperens IP-adresse. Over 300 av dem lyktes.
Lærdommen gjelder alle som bygger multi-tenant-apper mot Microsoft Graph: appens nøkkel virker i hver tenant der appen har samtykke. ConnectWise begynte å gjenopprette tjenesten trinnvis 21. oktober.
Hva bør du gjøre?
- Søk etter ConnectWise-appene på app-ID i Entra, ikke på visningsnavn (eldre tenanter viser dem som «SkyKick Cloud Manager»), og hold dem deaktivert til ConnectWise gir formelle instrukser.
- Sikre loggene før du sletter noe, og gå så gjennom service principal-innlogginger og Entra-revisjonsloggen fra minst 15. oktober etter nye app-hemmeligheter, rolletildelinger og trafikk fra 144.172.64.x.
- Be om minst mulig Graph-rettigheter i egne multi-tenant-apper, og slå på App Instance Property Lock slik Huntress gjorde for sine apper etter hendelsen.