Китайские хакеры натравили ИИ-агентов на клиентов ConnectWise

Связанная с Китаем группа Storm-0940 скомпрометировала сервис ConnectWise Cloud Backup и с помощью автономного ИИ-инструмента атаковала сотни организаций по всему миру. По данным Microsoft, автоматизация позволяла получить привилегированный доступ к облачной инфраструктуре менее чем за 3 часа с начала атаки. ConnectWise остановила три сервиса, и клиенты на время лишились резервного копирования, мониторинга и управления лицензиями.

Оператор не нужен

Инструмент ARTEX представляет собой открытую платформу для автоматизации тестирования на проникновение, в которой работают ИИ-агенты. По данным Microsoft, Storm-0940 применяет его как минимум с сентября 2026 года и использует разрешения, которые облачные приложения уже получили для входа в среды Microsoft 365. Целями стали аэрокосмическая и оборонная отрасли, энергетика, финансы, госуправление, промышленность и ИТ. Живой оператор проверяет варианты по одному и уходит спать, а агенты перебирают несколько путей одновременно и работают круглосуточно. Они самостоятельно выполняют сразу несколько задач атаки:

• ведут разведку в атакуемой среде;
• ищут уязвимости;
• проверяют способы доступа;
• готовятся к выводу данных.

С 10 по 14 октября инфраструктура группы вела подбор паролей к 327 учётным записям в восьми организациях. Microsoft насчитала более 151 тыс. неудачных попыток входа в Microsoft 365 и Exchange Online, пик достиг 2,9 тыс. попыток в минуту, а за один день набралось свыше 111 тыс. Почти 98% запросов закончилось блокировкой учётных записей, успешных входов в рамках этой кампании компания не нашла.

В другом эпизоде после взлома приложений ConnectWise агенты пытались авторизоваться более чем в 2 250 клиентских средах. Более 200 входов зафиксировали менее чем за 4 минуты с четырьмя учётными данными приложений. Эти цифры описывают лишь фрагмент кампании и не равны числу пострадавших компаний. В нескольких средах злоумышленники всё же получили привилегированный доступ к облачной инфраструктуре, и он мог сохраниться даже после блокировки первоначального подключения.

Доверие как лазейка

ConnectWise Cloud Backup, ранее известный как SkyKick, создаёт резервные копии Microsoft 365. Компания обнаружила несанкционированный доступ к идентификаторам приложений и связанным с ними учётным данным, а генеральный директор Мэнни Ривело заявил, что данные указывают на причастность группы, связанной с китайским государством.

Вместо взлома каждой компании по отдельности злоумышленники в атаках на цепочку поставок добираются до поставщика, чьи приложения уже подключены к множеству клиентских сред и располагают нужными разрешениями. Захватив их идентификаторы, атакующие входили в чужие среды без участия пользователя и обращались к данным через Microsoft Graph. Для российских компаний, которые пользуются Microsoft 365 через зарубежных интеграторов, угроза остаётся прямой, поскольку доверенное приложение подрядчика открывает путь в их среду.

Microsoft зафиксировала действия, указывающие на закрепление в облаке, среди которых:

• изучение ресурсов и учётных записей;
• изменение учётных данных приложений;
• попытки повысить привилегии;
• правки в каталогах, группах и ролях.

Новые учётные данные или разрешения позволяют вернуться в среду даже после блокировки взломанного приложения. При этом успешный вход не доказывает кражу данных, и реальный ущерб определяют только журналы каждой организации.

Сервисы остановлены

ConnectWise отключила затронутые подключения, отозвала сертификаты, аннулировала общие учётные данные и привлекла независимых специалистов по расследованию. Cloud Backup, SaaS Security и Cloud Management приостановили, потому что они используют схожие механизмы интеграции с Microsoft 365. Клиенты лишились следующих возможностей:

• запускать резервное копирование и восстанавливать данные из архивов;
• получать мониторинг и оповещения SaaS Security;
• управлять пользователями и лицензиями в Cloud Management.

По состоянию на обновление от 22 октября восстановление шло поэтапно. Компания сообщила, что архивы остаются зашифрованными и изолированными, а признаков их компрометации нет, но это не гарантирует чистоты действующих сред Microsoft 365 у клиентов. Партнёрам посоветовали не запускать отключённые подключения до публикации официальных инструкций.

Пекин отрицает, защитникам советуют проверить журналы

Посольство Китая в Вашингтоне заявило Reuters, что страна выступает против хакерской деятельности и борется с ней по закону, а обвинения назвало попыткой очернить Китай. Эта позиция расходится с оценкой Microsoft и выводами, на которые ссылается ConnectWise. По данным Microsoft, Storm-0940 действует с 2021 года и раньше проникала в сети через подбор паролей и уязвимые интернет-приложения. Администраторам рекомендовали проверить:

• журналы входов сервисных субъектов в Microsoft Entra;
• журнал аудита Microsoft 365 и операции Microsoft Graph;
• новые разрешения, привилегированные роли, созданные приложения и необычный доступ к почте и файлам.

Эксперты CISOCLUB отметили, что главный урок инцидента лежит не в самом ИИ, а в доверии к интеграциям. Агенты ускоряют разведку и перебор, но дверь им открывают избыточные разрешения OAuth-приложений и общие учётные данные поставщика, которые годами остаются без пересмотра. Компрометация одного сервисного приложения даёт доступ сразу к множеству клиентских сред, и защита периметра отдельной компании здесь не срабатывает. Российским организациям, работающим с Microsoft 365 через зарубежных подрядчиков, стоит составить реестр подключённых к тенанту приложений и отозвать лишние разрешения. Окно в 3 часа не оставляет места ручному разбору алертов, поэтому реакцию на смену привилегий нужно автоматизировать.

Ранее сообщалось, что компании разрешают ИИ-агентам самостоятельно выполнять задачи, не дожидаясь одобрения сотрудников, но при этом не всегда могут контролировать их действия. Согласно опросу 1100 руководителей ИТ-направлений и специалистов по защите информации, 70% организаций уже предоставили искусственному интеллекту полномочия, которые год назад требовали согласования с человеком. При этом отслеживать каждое действие автономных помощников могут только 49% участников исследования.