Storm-0940 fa servir IA i una aplicació de ConnectWise per entrar en tenants de Microsoft 365
Microsoft atribueix a Storm-0940 una campanya que va fer servir identitats ja autoritzades de l’aplicació ConnectWise Cloud Backup per entrar en tenants de Microsoft 365.
Què ha passat
Microsoft atribueix la campanya a Storm-0940, un actor alineat amb la Xina. El grup comprometia l’aplicació ConnectWise Cloud Backup i feia servir les seves identitats d’aplicació, que ja estaven autoritzades als tenants, per entrar sense cap inici de sessió d’usuari. Per ampliar l’abast va emprar ARTEX, un sistema de diversos agents d’IA, amb què va intentar accedir a més de 2.250 tenants; en alguns casos va aconseguir accés privilegiat en menys de tres hores. ConnectWise va publicar el primer avís el 16 d’octubre.
Per què importa
L’accés no venia d’una contrasenya robada, sinó d’una confiança ja concedida: l’aplicació del proveïdor estava autoritzada dins del client i ningú no havia d’aprovar res en el moment de l’atac. Un cop a dins, el grup va canviar credencials d’aplicacions, grups i rols privilegiats. Aquests canvis poden continuar actuant com a porta del darrere encara que es corregeixi l’aplicació original, així que el problema no es tanca només actualitzant ConnectWise. El fet que el treball l’accelerés un sistema d’agents d’IA explica un ritme que cap equip humà revisant tenant a tenant podria mantenir.
Què recomanem
Revisar els permisos d’aplicacions de proveïdors a Microsoft 365, les credencials afegides a aplicacions i els canvis recents en rols i grups. Qualsevol permís o credencial que ningú no va autoritzar és un indici que cal tractar com a incident, no com una configuració que es corregeix i s’oblida. Convé fer-ho també amb les aplicacions que es van donar d’alta fa mesos i que ningú no revisa des d’aleshores.
Servei relacionat: respuesta-incidentes · soc-gestionado
Vols saber com t’afecta?
Revisem el teu entorn i et diem què cal prioritzar, sense compromís.