Microsoft розповіла про кампанію, яку сама називає першою масштабною атакою, де рутинну роботу зламника виконував не людина, а автономний ІІ-агент. За цим стоїть Storm-0940 — угруповання, пов'язане з Китаєм і відоме з 2021 року крадіжками даних у компаній по всьому світу.
Інструментом став ARTEX — мультиагентна система на Go з веб-інтерфейсом на Next.js. Спочатку її створювали для легальних пентестів: задаєш ціль, і система сама проходить шлях від розвідки до вивантаження даних, майже без участі людини. Розробники закрили код після того, як ARTEX засвітився в атаках на фінансові установи Південної Кореї. Storm-0940 це не зупинило.
Точкою входу стала хмарна програма резервного копіювання ConnectWise: 15 жовтня її скомпрометували, а наступного дня про злом розповіли публічно. Через викрадені облікові дані хакери намагалися авторизуватися у понад 2250 тенантах Microsoft 365 — маючи лише чотири вкрадені облікові записи, агент здійснив понад 200 спроб входу за менш ніж чотири хвилини.
- понад 151 000 невдалих спроб входу з 10 по 14 жовтня;
- пік — 2900 спроб за хвилину 11 жовтня;
- під ударом 327 облікових записів у восьми організаціях;
- 48 акаунтів отримали понад тисячу відмов кожен.
Найбільше тривожить швидкість успіху. У деяких випадках від першого контакту з ціллю до отримання привілейованого доступу до хмарної інфраструктури минуло менше трьох годин — людині-оператору на такий обсяг перебору зазвичай потрібні дні. Microsoft наголошує: вразливість була не в її власних продуктах, а в ланцюжку постачання через сторонню службу. Компанія вже випустила правила виявлення для Defender XDR і Defender for Cloud Apps і надіслала клієнтам інструкції щодо стримування.
Історія з ARTEX показує зворотний бік прогресу в ІІ для безпеки. Інструмент створювали, щоб захисники знаходили дірки швидше за зловмисників. У чужих руках він перетворюється на конвеєр для масового підбору паролів і швидкого захоплення привілеїв — а закриття коду не завадило йому потрапити саме туди, звідки його найбільше чекали.
