Il backup diventa una porta diretta ai tenant Microsoft 365
Microsoft attribuisce a Storm-0940 l’attacco alla supply chain di ConnectWise Cloud Backup, che ha esposto i tenant Microsoft 365 collegati: il gruppo ha preso di mira oltre 2.250 organizzazioni.
Le credenziali applicative sottratte permettevano di accedere come una connessione già autorizzata, senza che un utente completasse l’accesso. Microsoft riferisce circa 2.900 tentativi al minuto e casi in cui Storm-0940 ha ottenuto privilegi elevati in meno di tre ore. Da quei tenant era possibile raggiungere email e file, oltre a creare accessi persistenti.
ConnectWise ha chiesto ai clienti di mantenere disattivate le connessioni finché non riceveranno istruzioni dirette. Il ripristino del servizio, da solo, non esclude accessi o persistenza nei tenant. Anche altri servizi cloud collegati a Microsoft 365 tramite credenziali applicative possono costituire un accesso privilegiato, non semplice infrastruttura di backup.
Chinese hackers spied on thousands of companies after breaching IT giant ConnectWise | TechCrunch
Microsoft points the blame for ConnectWise's breach at a China-aligned hacker, which relied on AI agents to rapidly hack into thousands of its customers.
Microsoft blames ConnectWise attacks on Chinese state hacker using ARTEX AI agents
A Chinese government-aligned hacking group used automated tools to carry out the recent supply chain attack on IT management software company ConnectWise and is using the same techniques to try to compromise organizations around the globe, Microsoft said.