Злоумышленники, связанные с китайскими киберррегуляторами, продолжили кампанию против тысяч компаний после взлома управленческой и удалённой поддержки IT‑гиганта ConnectWise. По данным исследователей Microsoft, преступники проникли в облачную систему резервного копирования ConnectWise и похитили учётные данные приложений, которые устанавливают связи между ConnectWise и его корпоративными клиентами, полагающимися на эту услугу для бэкапа данных. Набор credential’ов позволял хакерам войти в окружения клиентов в Microsoft как будто они авторизованные пользователи и получать доступ к их электронным письмам и другим файлам.

После кражи учётных данных злоумышленники смогли использовать их для входа в облачную среду клиентов и расширить доступ к их ресурсам без явной аутентификации пользователей. Microsoft подчёркивает, что скорость взлома позволяла приблизиться к 2 250 организациям за очень короткое время, что сопровождалось почти 3 000 попыток входа в минуту — и defenders едва успевали реагировать. Исследователи объясняют стремительную атаку применением продвинутых инструментов искусственного интеллекта.

Для ускорения атаки злоумышленники применяли агенты на базе искусственного интеллекта, в частности ARTEX — открытый фреймворк, который работает с моделями ИИ для стресс‑тестирования киберзащит. Именно подобное ПО ранее было задействовано и при компрометации финансовых систем Южной Кореи, где многие объекты имели слабую защиту и отсутствовала многофакторная аутентификация. Эти данные подчеркивают быстрое распространение техники взлома и риск для компаний с подобной архитектурой безопасности.

ConnectWise заявляет, что приостановила доступ к своей системе облачного резервного копирования и ведёт расследование инцидента. По состоянию на четверг компания работает над восстановлением сервиса. Детали и сроки восстановления пока не озвучены, но признаётся наличие перебоев и необходимость устранения последствий.