Microsoft meldt dat een Chinese hackinggroep met AI-gestuurde tools de supply chain aanval op ConnectWise uitvoerde en wereldwijd honderden organisaties aanvalt.
Een door de Chinese overheid gesteunde hackinggroep heeft geautomatiseerde AI-tools ingezet bij de recente supply chain aanval op IT-beheerbedrijf ConnectWise. Volgens Microsoft gebruikt deze groep dezelfde technieken om wereldwijd honderden andere organisaties te compromitteren.
Microsoft onderzoekt een reeks aanvallen uitgevoerd door een bedreigingsactor die zij Storm-0940 noemen. Deze groep maakt gebruik van een AI-penetratietestframework genaamd ARTEX om toegang te krijgen tot cloudinfrastructuren van organisaties. Sinds september heeft Storm-0940 diverse sectoren getroffen, waaronder overheid, lucht- en ruimtevaart, defensie, financiën, productie, technologie en energie. Na het verkrijgen van toegang voeren de hackers verkenning uit, stelen zij inloggegevens en proberen zij hun privileges uit te breiden om meer data te verzamelen.
Microsoft benadrukt dat deze campagne opvalt door de snelheid waarmee AI de hackers in staat stelt om doelwitten binnen enkele uren te compromitteren. In meerdere gevallen duurde het minder dan drie uur vanaf de eerste aanval tot het verkrijgen van geprivilegieerde toegang. Hoewel niet alle pogingen succesvol waren, wist Storm-0940 op veel plekken langdurige cloudtoegang te verkrijgen.
Storm-0940 is sinds 2021 actief en richt zich vooral op datadiefstal. De groep valt internetgerichte applicaties aan en gebruikt gecompromitteerde accounts om hun toegang uit te breiden. ARTEX is een penetratietesttool die gebruikers in staat stelt om AI-modellen in te zetten voor het automatiseren van offensieve beveiligingsacties. Het platform coördineert een team van agenten die autonoom penetratietesten kunnen uitvoeren, van verkenning tot datadiefstal, met minimale menselijke tussenkomst. Deze tool werd begin dit jaar als open source op GitHub gepubliceerd door een account genaamd "Autumn-27".
ARTEX werd recentelijk in verband gebracht met meerdere aanvallen op financiële instellingen in Zuid-Korea en Japan. Onderzoekers van Zscaler rapporteerden dat de door ARTEX ondersteunde aanvallen zich uitstrekken over tientallen sectoren in meerdere landen. De ontwikkelaar van ARTEX, een Chinese cybersecurity-engineer genaamd Li Puhua, gaf op 8 oktober op GitHub aan dat de tool misbruikt werd door kwaadwillenden. Hij verklaarde dat ARTEX oorspronkelijk bedoeld was voor leer- en onderzoeksdoeleinden om organisaties te helpen bij het testen van beveiligingsrisico’s binnen hun geautoriseerde assets. Vanwege het misbruik zal het project niet langer worden bijgewerkt en wordt het gesloten broncode.
De woordvoerder van het Chinese ministerie van Buitenlandse Zaken, Mao Ning, ontkende tijdens een recente persconferentie kennis te hebben van de incidenten. Tijdens het weekend moest ConnectWise meerdere diensten stilleggen nadat Microsoft en andere cybersecuritybedrijven waarschuwden voor een supply chain aanval op de Cloud Backup-service, die bedoeld is om data in Microsoft 365 en Google Workspace te beschermen. Aanvallers gebruikten gestolen inloggegevens van Cloud Backup om brede toegang te krijgen tot systemen waar de applicatie geïnstalleerd is. Volgens Microsoft gebruikte Storm-0940 ARTEX om het misbruik van gecompromitteerde applicaties te versnellen en toegang te krijgen tot Microsoft 365-omgevingen van klanten.
