Attacco supply chain ConnectWise: hacker cinesi sfruttano agenti AI open-source
Storm-0940 ha condotto un attacco massivo sfruttando il framework AI ARTEX, colpendo centinaia di tenant Microsoft 365.
Il gruppo Storm-0940, identificato come attore allineato allo Stato cinese, ha condotto un sofisticato attacco supply chain sfruttando agenti AI basati sul framework open-source ARTEX. L'attacco si è focalizzato sulla piattaforma ConnectWise, utilizzando credenziali applicative rubate per tentativi di accesso automatizzati a oltre 2.250 tenant Microsoft 365 senza necessità di interazione umana diretta.
Gli agenti AI hanno eseguito penetration test autonomi, attività di ricognizione, password spraying e abuso delle applicazioni OAuth a un ritmo tale da lasciare poco tempo di reazione ai difensori. Il password spraying ha coinvolto 327 account in otto organizzazioni, generando oltre 151.000 tentativi falliti. Nonostante l'elevato numero di fallimenti, il possesso di credenziali ConnectWise ha permesso agli agenti di autenticarsi rapidamente su molti tenant, ottenendo in alcuni casi privilegi amministrativi in meno di tre ore dall'inizio degli attacchi.
Il settore colpito comprende aerospace, difesa, semiconductor, enti governativi e think tank. Secondo Microsoft, l'attacco non è stato causato da vulnerabilità nei propri prodotti e servizi. ConnectWise ha prontamente sospeso alcuni servizi come misura precauzionale e ha avviato il ripristino graduale, mentre si raccomanda agli utenti di tenere disattivate le connessioni alle app coinvolte fino a nuovo avviso.
