Microsoft приписала Storm-0940 злоупотребление учётными данными

Microsoft приписала злоупотребление учётными данными ConnectWise актору Storm-0940 и заявила, что он использовал ARTEX, открытый фреймворк для многоагентных ИИ-систем. Huntress зафиксировала соответствующую активность, но не смогла независимо подтвердить ни атрибуцию, ни применение ИИ.

В журналах Huntress обнаружились разные операционные паттерны: автоматизированные скрипты, целенаправленные действия оператора и фоновые инструменты, продолжавшие работу после отключения целевого объекта. 15 октября скрипт использовал скомпрометированные учётные данные приложения и отправлял запросы на получение токенов почти тысяче арендаторов Microsoft 365. Идентификаторы арендаторов шли по возрастанию, запросы обычно поступали с интервалом от одной до шести минут, а строка пользовательского агента оставалась одинаковой: Python-urllib/3.12.

Ранее процесс с пулом потоков отправил около 100 неудачных запросов примерно за 10 секунд и не адаптировался к ошибкам. Позднее аналогичные инструменты продолжили отправлять неудачные запросы с секретом другого приложения, хотя тот действовал только в собственном арендаторе. Отдельно, при обращении к выбранным арендаторам, фиксировались зондирование с нерегулярными интервалами и последующее пакетное перечисление. Успешная активность включала использование скомпрометированных учётных данных приложения и операции в Microsoft Graph.

Huntress наблюдала добавление учётных данных и изменения привилегированных ролей. В частности, субъект-служба Teams назначил самому себе роль Global Administrator. После удаления этого субъекта-службы запросы продолжали поступать с интервалом от четырёх до восьми секунд ещё 22 минуты, но отклонялись. По оценке Huntress, это указывает на то, что процесс не реагировал на результаты запросов либо автономные задачи продолжали выполняться.

Microsoft описала Storm-0940 как актора, активного с 2021 года. По данным компании, он использовал распыление пароля и приложения, доступные из интернета, для получения доступа, а также добавлял учётные данные в существующие приложения OAuth для закрепления. Microsoft связала инфраструктуру, ассоциированную с распылением пароля с 10 по 14 октября, с активностью ConnectWise. Huntress подтвердила часть инфраструктуры, строки пользовательского агента и активность по распылению пароля; охват компании был меньше по числу арендаторов.

Авторы отчёта предупреждают, что временные метки, паттерны повторных попыток и строки пользовательского агента не служат окончательным доказательством использования ИИ. Защитникам они рекомендуют сосредоточиться на выполняемых действиях.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.