Microsoft раскрыла массовую атаку ИИ-агентов на 2250 облачных сред

Специалисты Microsoft Threat Intelligence связывают кампанию с хакерской группировкой Storm-0940, предположительно действующей в интересах Китая. Для взлома использовалась ARTEX — платформа автоматизированного тестирования безопасности с помощью ИИ. Агенты искали подходящие цели, проверяли учетные данные и пытались получить доступ к корпоративным ресурсам. Среди целей оказались организации финансового, оборонного и энергетического секторов.

В атаке фигурировал сервис резервного копирования ConnectWise Cloud Backup. Получив учетные данные приложений, хакеры использовали предоставленные им разрешения для подключения к системам клиентов. Это позволяло проникать в корпоративные сети без обычной авторизации сотрудников. В отдельных случаях злоумышленникам требовалось менее трех часов, чтобы получить расширенные права доступа.

После проникновения в некоторые облачные среды хакеры изучали их структуру, меняли учетные данные приложений и пытались повысить свои привилегии. Часть изменений позволяла сохранить доступ даже после устранения исходной компрометации. В Microsoft уточнили, что попытки подключения к 2250 средам не означают успешного взлома каждой из них. Данных о хищении информации во всех атакованных организациях также нет.

Microsoft посоветовала клиентам ConnectWise проверить журналы входов, разрешения приложений и изменения административных прав. Специалисты также рекомендуют не восстанавливать отключенные подключения к скомпрометированному сервису, пока ConnectWise не даст официальные указания по восстановлению. По оценке компании, использование ИИ позволяет хакерам значительно ускорить поиск уязвимостей и получение доступа к корпоративным системам.

Ранее ICT-Online.ru рассказывали о хакере, который использовал сотни ИИ-агентов для взлома серверов PaperCut. Кампания затронула не менее 395 организаций в 48 странах. В самый активный момент злоумышленник сумел скомпрометировать 11 целей за 26 секунд.