SzabályozásHír
Storm-0940: agentes AI gyorsította a ConnectWise-támadást
A Microsoft szerint egy kínai állami kötődésű csoport az ARTEX nevű nyílt agentes pentest-keretrendszerrel automatizálta támadásait. Volt, ahol 3 óra alatt jutott el a célpont kiválasztásától a privilegizált hozzáférésig.
Írta: Mikola Máté Patrik · · 2 perc olvasás
Mikola Máté Patrik
Mi történt?
A Microsoft Threat Intelligence október 21-én publikálta elemzését (Microsoft). Eszerint a Storm-0940 nevű, Kínához köthető állami szereplő legalább 2026 szeptembere óta az ARTEX agentes AI pentest-keretrendszerrel automatizálja a támadásait. Célpont több száz szervezet volt a védelmi ipartól a pénzügyeken át a kormányzatig.
Mi az ARTEX?
Nyílt forráskódú penetrációs tesztelő keretrendszer, amely bármilyen AI modellel tud dolgozni. Go nyelvű multi-agent LLM rendszer Next.js felülettel. Az agentek a felderítéstől az adatkiszivárogtatásig minimális emberi beavatkozással végigviszik a támadást, a talált eszközöket és sebezhetőségeket pedig gráfba gyűjtik.
A ConnectWise-szál
- Október 10. és 14. között jelszószóró kampány futott 327 fiók ellen, több mint 151 ezer sikertelen belépéssel, csúcson percenként 2900 hibával.
- A ConnectWise október 16-án adott ki figyelmeztetést a Cloud Backup szolgáltatását érintő illetéktelen hozzáférésről.
- A lopott ConnectWise alkalmazás-azonosítókkal az ARTEX több mint 2250 Microsoft 365 tenantba próbált belépni, interaktív felhasználói bejelentkezés nélkül.
- Egyes környezetekben az agentek Microsoft Graphon át felderítettek, új alkalmazáskulcsokat adtak hozzá, illetve jogosultságokat módosítottak. Ez hátsó ajtóként a kompromittált app eltávolítása után is megmaradhat.
A CyberScoop szintén a Storm-0940-re hivatkozva számolt be az esetről (CyberScoop).
Mit kell most tenni?
Ha a szervezetedben valaha telepítve volt az érintett ConnectWise alkalmazás, a Microsoft ajánlásai közül a legfontosabbak:
- Az érintett ConnectWise kapcsolatok maradjanak letiltva, amíg a ConnectWise hivatalos visszaállítási útmutatót nem ad.
- Ne az enterprise alkalmazás törlése legyen az első lépés: előbb mentsd a konfigurációt és a bizonyítékokat.
- Legalább október 15-től, ha lehet, október 1-től nézd át a service principal bejelentkezéseket és a Graph-aktivitást, az alkalmazásazonosító alapján keresve.
- Az Entra audit naplóban keresd az új alkalmazáskulcsokat, tulajdonosokat, consent grantokat és szerepkör-hozzárendeléseket.
Miért fontos?
Ez az egyik első részletesen dokumentált eset, ahol egy állami szereplő agentes AI-jal gépi sebességre gyorsított fel egy ellátási láncon át futó támadást. Az agent nem fárad el, éjjel és hétvégén is dolgozik, több támadási utat próbál párhuzamosan. A védekezésben ezért a reakcióidő lesz a szűk keresztmetszet, nem a riasztások száma.
MI segítségével készült, szerkesztő ellenőrizte. Hogyan készülnek a cikkeink
Szerkesztőségünk ellenőrizte és szerkesztette. Rólunk
