Microsoft: čínská skupina Storm-0940 zasáhla přes ConnectWise 2 200 tenantů

Společnost Microsoft připisuje nově popsanou kampaň skupině, kterou sleduje pod označením Storm-0940. Podle dostupných informací jde o aktéra spojeného s Čínou. Případ je zajímavý hned ze dvou důvodů: využívá slabinu v dodavatelském řetězci a zároveň ukazuje, jak útočníci sahají po nástrojích postavených na umělé inteligenci, aby svou práci zrychlili.

Základem celé operace je dodavatelský řetězec, konkrétně vazba na společnost ConnectWise. Útoky tohoto typu patří mezi nejnebezpečnější právě proto, že nemíří přímo na koncové zákazníky, ale na poskytovatele, jehož služby tito zákazníci používají. Jakmile se útočníkovi podaří dostat se do prostředí dodavatele, otevírá se mu cesta k řadě dalších organizací najednou. Microsoft v případě Storm-0940 hovoří o cílení na více než 2 200 tenantů, tedy samostatných zákaznických prostředí, což svědčí o značném rozsahu kampaně.

Zásadní roli podle Microsoftu sehrál nástroj pro penetrační testování využívající umělou inteligenci. Tyto nástroje jsou původně určeny bezpečnostním týmům, které s jejich pomocí prověřují odolnost vlastních systémů. Útočník je však podle zjištění zneužil k automatizaci a urychlení útoku. Místo ručního procházení jednotlivých cílů tak mohl velkou část práce přenechat softwaru, který dokáže opakující se kroky provádět rychleji a ve větším měřítku, než by zvládl člověk.

Právě tento aspekt je pro odborníky nejvýraznější. Dosud se o zneužívání umělé inteligence v kybernetických útocích hovořilo spíše v obecné rovině, například v souvislosti s tvorbou přesvědčivějších phishingových zpráv. Případ Storm-0940 ukazuje konkrétní nasazení nástroje, který zkracuje dobu mezi průnikem a jeho zneužitím. Pro obránce to znamená menší časový prostor na reakci, protože automatizovaný útok se může rozšířit na stovky či tisíce cílů dříve, než si ho někdo všimne.

Rozlišení mezi legitimním testováním a skutečným útokem se přitom komplikuje. Penetrační nástroje jsou běžně dostupné a jejich použití samo o sobě nemusí vzbuzovat podezření. Útočník, který sáhne po stejné sadě nástrojů jako profesionální bezpečnostní tým, se tak může snáze ztratit v běžném provozu. Obránci proto nemohou spoléhat pouze na rozpoznávání známých škodlivých programů a musejí sledovat spíše podezřelé chování v síti a neobvyklé vzorce přístupu.

Označení Storm-0940 používá Microsoft pro skupiny, které zatím nejsou plně přiřazeny k dlouhodobě sledovaným aktérům. Přiřazení k Číně v tomto případě vychází z hodnocení společnosti a nemělo by se zaměňovat s oficiálním politickým obviněním. Microsoft v takových případech obvykle vychází z technických indicií, jako jsou infrastruktura útočníka, použité postupy a charakter vybraných cílů.

Pro firmy, které využívají služby poskytovatelů spravovaných IT služeb a nástrojů pro vzdálenou správu, je případ připomínkou, že riziko nekončí u vlastní infrastruktury. Bezpečnost organizace do značné míry závisí i na zabezpečení jejích dodavatelů. Odborníci dlouhodobě doporučují omezit oprávnění přidělená externím nástrojům na nezbytné minimum, důsledně používat vícefaktorové ověřování a pravidelně kontrolovat, kdo a odkud do zákaznického prostředí přistupuje. U správců tenantů je rovněž důležité sledovat přihlášení z neobvyklých lokalit a nečekané změny v konfiguraci.

Případ zároveň otevírá širší otázku, jak by měli výrobci bezpečnostních nástrojů nakládat s tím, že jejich produkty mohou skončit v rukou útočníků. Čím schopnější je nástroj při hledání slabin, tím atraktivnější je i pro ty, kdo je chtějí zneužít. Microsoft kampaň popisuje jako příklad toho, že umělá inteligence už není jen teoretickou hrozbou, ale praktickým prostředkem, který útočníkům šetří čas i úsilí.

Další podrobnosti o průběhu útoku a o tom, kolik z dotčených tenantů bylo skutečně narušeno, zatím nejsou k dispozici. Jisté je pouze to, že rozsah cílení na více než 2 200 prostředí řadí kampaň mezi výrazné incidenty v oblasti dodavatelských útoků.