2 900 attacker i minuten – AI drev gigantisk hackerattack

Hackergruppen Storm-0940, som Microsoft kopplar till kinesiska statliga intressen, ska sedan september ha använt AI-verktyget ARTEX för automatiserade attacker mot hundratals organisationer världen över.

Målen fanns bland annat inom försvar, energi, finans, myndigheter, tillverkning, halvledare, teknik och juridik.

Attackkampanjen fick extra räckvidd efter att angriparna lyckades ta kontroll över applikationsuppgifter kopplade till ConnectWise Cloud Backup. Därifrån kunde de utnyttja den åtkomst som ConnectWise-applikationerna redan hade till kundernas Microsoft 365-miljöer.

Läs även: AI-agenter gick till attack mot myndighetssajter

AI drev upp attacktakten till tusentals försök i minuten

ARTEX är ett öppet ramverk för automatiserade penetrationstester där flera AI-agenter kan arbeta tillsammans.

Systemet kan bland annat skanna efter mål, leta efter sårbarheter, testa lösenord och genomföra senare steg i en attack med mycket liten mänsklig inblandning.

Microsoft säger att Storm-0940 använde ARTEX för att accelerera just den typen av arbete.

I samband med ConnectWise-incidenten nådde angriparna över 2 250 Microsoft 365-miljöer och genomförde upp till omkring 2 900 inloggningsförsök per minut.

I en separat del av kampanjen registrerade Microsoft mer än 151 000 misslyckade inloggningar mot 327 konton hos åtta organisationer. Där såg Microsoft däremot ingen lyckad inloggning eller efterföljande åtkomst.

På andra håll gick det betydligt bättre för angriparna. Microsoft säger att flera ARTEX-drivna attacker ledde till privilegierad åtkomst till organisationers molnmiljöer och att vägen dit i vissa fall tog mindre än tre timmar.

Utnyttjade ConnectWise som genväg in i Microsoft 365

Den allvarligaste delen av attacken handlar om själva leveranskedjan.

Microsoft bedömer att Storm-0940 låg bakom komprometteringen av en ConnectWise-applikation som användes av flera kunder. När angriparna väl hade tillgång till applikationsuppgifterna kunde de autentisera sig mot kundernas Microsoft 365-miljöer utan att en vanlig användare behövde logga in.

I vissa drabbade miljöer gick angriparna vidare och använde Microsoft Graph för att kartlägga konton, ändra applikationsuppgifter och försöka utöka sina rättigheter.

Sådana ändringar kan i värsta fall skapa nya bakdörrar som finns kvar även efter att den ursprungliga komprometterade applikationen stängts av.

Microsoft betonar samtidigt att en lyckad inloggning inte automatiskt betyder att kunddata faktiskt lästs eller stulits.

Majoriteten av attackförsöken misslyckades, men Microsoft säger att angriparna ändå lyckades skapa privilegierad och beständig molnåtkomst hos flera organisationer.

Läs även: Rysslands AI-infrastruktur utslaget efter drönarattacker

ConnectWise stängde ned tjänster

ConnectWise upptäckte problemet den 14 oktober och meddelade två dagar senare att företaget undersökte obehörig åtkomst kopplad till Cloud Backup, tidigare SkyKick.

Den 17 oktober stängde ConnectWise ned berörda applikationsanslutningar och suspenderade Cloud Backup. Även SaaS Security och Cloud Management stängdes tillfälligt av som försiktighetsåtgärd.

Företaget säger att befintliga backuparkiv är krypterade, isolerade och bevarade och att man hittills inte har några tecken på att dessa arkiv har komprometterats.

ConnectWise har däremot inte möjlighet att avgöra om varje enskild kunds Microsoft 365-miljö utsattes för obehörig aktivitet. Kunder och återförsäljare uppmanas därför att själva granska inloggningar, applikationsbehörigheter och ändringar i sina miljöer.

Den 21 oktober började ConnectWise återställa tjänsterna stegvis efter säkerhetskontroller. Företaget räknar med att återställningen tar flera dagar.

AI gör gamla attacker mycket snabbare

Tekniken som användes är kanske det mest oroande i hela incidenten.

Microsoft beskriver ARTEX som ett system där AI-agenter autonomt kan genomföra stora delar av ett penetrationstest, från kartläggning och scanning till attacker och datautvinning.

Det innebär inte att AI har uppfunnit en helt ny typ av hackning. Metoder som lösenordsspraying, stulna autentiseringsuppgifter och missbruk av OAuth-applikationer har funnits länge.

Skillnaden är hastigheten.

AI-agenter kan arbeta dygnet runt, testa flera angreppsvägar samtidigt och automatisera arbetsmoment som tidigare krävde betydligt mer handpåläggning.

Det gör att tiden mellan det första attackförsöket och en lyckad kompromettering kan krympa från dagar till timmar.

ConnectWise-attacken visar därför hur AI inte bara kan användas för att hitta sårbarheter snabbare, utan också för att skala redan välkända attacker till ett tempo som gör det betydligt svårare för försvarare att hinna reagera.