مایکروسافت می گوید نقض ConnectWise به جاسوسان چینی اجازه می دهد 2250 مستأجر ابری را آزاد کنند

به گفته مایکروسافت، مهاجمان همسو با چین از عوامل هوش مصنوعی و اعتبار برنامه های ConnectWise برای هدف قرار دادن بیش از 2250 مستأجر Microsoft 365 استفاده کردند.

غول ویندوز این هفته فاش کرد که مهاجمان با نام Storm-0940 از یک ابزار تست نفوذ هوش مصنوعی منبع باز به نام ARTEX برای خودکارسازی حملات علیه محیط های مایکروسافت 365 استفاده کردند. در برخی موارد، آنها از انتخاب یک هدف به دسترسی ابری ممتاز در کمتر از سه ساعت رسیدند.

این یافته‌ها روی حادثه امنیتی ConnectWise روشن‌تر می‌شود، که باعث شد فروشنده مدیریت فناوری اطلاعات پس از کشف دسترسی غیرمجاز به هویت برنامه‌ها، سرویس‌های Cloud Backup، SaaS Security و Cloud Management را قطع کند.

ConnectWise در ابتدا مشخص نکرد که چه کسی مسئول این کار است، اما مایکروسافت اکنون انگشت خود را به سمت Storm-0940، یک خدمه جاسوسی مرتبط با چین که حداقل از سال 2021 فعالیت می کند، نشانه رفته است.

این گروه به طور سنتی بر ترفندهای معمولی، از جمله پاشش رمز عبور و بهره برداری از برنامه های کاربردی اینترنت تکیه می کرد، اما این بار از هوش مصنوعی برای انجام برخی کارهای سنگین استفاده کرد.

ARTEX یک چارچوب تست نفوذ منبع باز است که در Go نوشته شده است که از عوامل هوش مصنوعی برای خودکارسازی همه چیز از شناسایی و کشف آسیب‌پذیری گرفته تا حملات اعتبار و سرقت اطلاعات استفاده می‌کند. مایکروسافت می‌گوید Storm-0940 از اوایل سپتامبر استفاده از آن را برای هدف قرار دادن سازمان‌های سراسر جهان از جمله سازمان‌های دولتی، پیمانکاران دفاعی، بانک‌ها، تولیدکنندگان و شرکت‌های فناوری آغاز کرد.

بین 10 تا 14 اکتبر، هکرها بیش از 151000 تلاش ناموفق برای ورود به سیستم را علیه 327 حساب در هشت سازمان انجام دادند. مایکروسافت هیچ ورود موفقیت آمیزی از آن کمپین پاشش رمز عبور مشاهده نکرد، اما سپس مهاجمان به هویت برنامه های کاربردی ConnectWise روی آوردند.

اعتبار برنامه به خطر افتاده به مهاجمان اجازه می دهد از مجوزهایی که مشتریان قبلا به سرویس های ConnectWise اعطا کرده بودند، بدون نیاز به ورود کاربر تعاملی سوء استفاده کنند.

مسلح به ARTEX، Storm-0940 تلاش کرد تا در برابر بیش از 2250 مستأجر مایکروسافت 365 احراز هویت کند، که گاه به 2900 بار در دقیقه می‌رسید. مایکروسافت همچنین فعالیت‌های شتاب‌دهی شده با هوش مصنوعی را از طریق مایکروسافت Graph مشاهده کرد، از جمله شناسایی، تغییرات اعتبار برنامه‌ها، و تلاش‌ها برای اصلاح امتیازات، که به طور بالقوه به مهاجمان اجازه می‌دهد حتی پس از لغو اعتبارنامه‌های اصلی، در اطراف خود باقی بمانند.

اکثر تلاش‌ها با شکست مواجه شدند، اگرچه مایکروسافت می‌گوید هکرها همچنان موفق شده‌اند دسترسی ممتاز دائمی را در سازمان‌های متعدد ایجاد کنند. فاش نکرده است که چه تعداد مشتری در معرض خطر قرار گرفته اند یا اینکه آیا داده ای به سرقت رفته است یا خیر، هشدار می دهد که ورود موفقیت آمیز لزوما به معنای دسترسی به اطلاعات نیست.

مدیر عامل ConnectWise، Manny Rivelo، گفت که این شرکت اتصالات برنامه آسیب‌دیده را مهار کرده است و به تدریج خدمات را بازیابی می‌کند، اگرچه قطع کردن این اتصالات لزوما مهاجمانی را که قبلا در محیط‌های مشتری جا کرده بودند، راه‌اندازی نمی‌کند.

ConnectWise قبلا اینجا بوده است. در ماه مه 2025، اعتراف کرد که یک «بازیگر پیچیده دولت ملت» با استفاده از نرم‌افزار دسترسی از راه دور ScreenConnect به سیستم‌های آن نفوذ کرده و تعداد کمی از مشتریان را به خطر انداخته است. هیچ چیزی وجود ندارد که نشان دهد این دو حمله به هم مرتبط هستند.

همچنین Storm-0940 به تنهایی در استفاده از ARTEX نیست. مایکروسافت می‌گوید مهاجمانی را از چندین منطقه جغرافیایی با استفاده از این چارچوب شناسایی کرده است که به‌طور رایگان برای تست نفوذ در دسترس است.

تکنیک‌های زیربنایی چیز جدیدی نیستند - اعتبار سرقت شده، پاشش رمز عبور و سوء استفاده از برنامه‌ها - اما مایکروسافت می‌گوید هوش مصنوعی به Storm-0940 کمک کرد تا آنها را سریع‌تر اجرا کند و برخی از حملات از هدف‌گیری اولیه به دسترسی ابری ممتاز در کمتر از سه ساعت پیشرفت می‌کنند. ®