מיקרוסופט: האקרים שקשורים לסין השתמשו בסוכני AI כדי לחדור לכ-2,250 ארגונים אחרי פריצה ל-ConnectWise

האקרים הפועלים בשירות המדינה הסינית ריגלו אחרי אלפי חברות. הם עשו זאת אחרי שפרצו ל-ConnectWise, חברה גדולה לניהול מערכות IT ולגישה מרחוק. כך עולה מממצאים של חוקרי האבטחה של מיקרוסופט, כפי שדיווח TechCrunch. לפי מיקרוסופט, התוקפים נעזרו בסוכני AI, כלומר תוכנות שמבצעות משימות רבות בעצמן בלי שאדם מפעיל כל צעד. כך הם הצליחו לחדור לכ-2,250 ארגונים בקצב של כמעט 3,000 ניסיונות התחברות בדקה.

איך התבצעה הפריצה

לפי מיקרוסופט, ההאקרים חדרו לשירות גיבוי הענן של ConnectWise. משם הם גנבו אישורי גישה של אפליקציות (application credentials), שמשמשים לחיבור בין ConnectWise לבין הלקוחות העסקיים שלה. הלקוחות האלה מגבים את נתוני החברה שלהם בשירות הענן של ConnectWise.

בעזרת האישורים הגנובים יכלו התוקפים להתחבר לסביבות של הלקוחות שמאוחסנות אצל מיקרוסופט, כאילו היו משתמשים מורשים. כך הם קיבלו גישה לתיבות דואר אלקטרוני ולקבצים נוספים.

זהו דפוס מוכר במתקפות על שרשרת האספקה: במקום לתקוף כל ארגון בנפרד, התוקפים פורצים לספק אחד שמחובר לרבים. ככל הנראה, דווקא הגישה הרחבה שספקית IT מקבלת כדי לשרת את לקוחותיה היא שהפכה אותה למטרה כל כך משתלמת.

התפקיד של ה-AI

לדברי מיקרוסופט, המהירות של המתקפה היא שמייחדת אותה. החברה ציינה שקצב כזה משאיר למגינים "זמן מועט לזהות ולהגיב". לפי הדיווח, את הקצב הזה אפשרו סוכני AI, ובמיוחד ARTEX: מסגרת קוד פתוח (open source) שעובדת יחד עם מודלי AI ומיועדת לבדוק את עמידותן של מערכות הגנה בסייבר.

לפי TechCrunch, אותה תוכנה שימשה גם בפריצה שאירעה לאחרונה למערכות פיננסיות בדרום קוריאה. רבות מהמערכות שם היו מאובטחות ברמה נמוכה ולא השתמשו באימות רב-שלבי (multi-factor authentication), כלומר אימות שדורש יותר מסיסמה בלבד.

ההשוואה הזו ממחישה בעיה מוכרת בתחום: כלים שנבנו כדי לעזור למגינים לבדוק את עצמם יכולים לשמש גם תוקפים. כשכלי כזה מחובר למודל AI, הוא יכול ככל הנראה לבצע בתוך דקות עבודה שהייתה דורשת מצוות אנושי הרבה יותר זמן.

תגובת ConnectWise

ConnectWise הודיעה שהשעתה את הגישה למערכת גיבוי הענן שלה ושהיא חוקרת את הפריצה. לדבריה, נכון ליום חמישי היא עובדת על החזרת השירות לפעולה.

הפריצה מתווספת לשבוע קשה במיוחד בתחום אבטחת המידע. באותו יום פלטפורמת המפתחים Railway קראה לכל המשתמשים שלה לבטל את המפתחות הסודיים שלהם בעקבות מתקפת סייבר.

למה זה חשוב

עד היום, מה שהגביל מתקפות בהיקף רחב היה בעיקר כוח האדם והזמן שהתוקפים צריכים. המקרה של ConnectWise מראה, לפחות לפי מיקרוסופט, שסוכני AI יכולים להסיר חלק מהמגבלה הזו. כשניסיונות ההתחברות מגיעים לאלפים בדקה, המשמעות היא ככל הנראה שמנגנוני הגנה שמסתמכים על זיהוי ותגובה אנושיים יתקשו לעמוד בקצב.

לארגונים שמסתמכים על ספקי IT חיצוניים, הלקח המיידי הוא לבדוק אילו אישורי גישה הספקים מחזיקים לסביבות שלהם ומה אפשר לעשות באמצעותם. המקרה הדרום-קוריאני מזכיר גם את החשיבות של אמצעי הגנה בסיסיים כמו אימות רב-שלבי. באותו מקרה, היעדר אימות כזה הוא אחד הפרטים שצוינו לגבי המערכות שנפרצו.