L'intrusione in ConnectWise era guidata da un software, a 2.900 tentativi di accesso al minuto

Lo scorso fine settimana ConnectWise ha spento il proprio servizio Cloud Backup dopo che qualcuno aveva usato le sue credenziali applicative per entrare negli account Microsoft 365 dei clienti. All'epoca il numero era di circa 300 accessi riusciti. Microsoft ha pubblicato il resto della storia il 21 ottobre, ed è parecchio più grande.

Microsoft attribuisce la campagna a Storm-0940, un gruppo allineato allo Stato cinese che segue dal 2021, e precisa che gli attaccanti non stavano digitando. Guidavano ARTEX, un framework open source per test di penetrazione costruito come sistema multi-agente attorno a un grande modello linguistico, che gestisce tutto dalla ricognizione al furto dei dati con pochissimo intervento umano. I numeri che ha prodotto sono il punto. Oltre 2.250 tenant tentati. Più di 2.900 tentativi di accesso al minuto. Più di 200 accessi riusciti in meno di quattro minuti con quattro credenziali applicative. In vari casi, meno di tre ore dal primo contatto all'accesso privilegiato. In quattro giorni fino al 14 ottobre ha scagliato 151.000 accessi falliti contro 327 account in otto organizzazioni.

Il riassunto di Microsoft è la frase da ricordare: gli agenti «possono lavorare 24 ore su 24, nei fine settimana e nei giorni festivi, e tentare più vie di intrusione contemporaneamente». Indovinare password era abbastanza lento perché nessuno si disturbasse con l'account di una persona comune. Quel limite è sparito. Il che significa che la distanza fra una password riusata ovunque e una usata una volta sola ha smesso di essere teorica, e ciò che protegge una casella di posta dovrebbe essere una passkey o una password lunga e unica, non il nome del cane seguito da un numero.

Gran parte di questa battaglia avviene su server che non vedrete mai. Il controllo della postura di sicurezza di Tendvane copre la parte che è davvero vostra, compreso se BitLocker stia cifrando davvero il disco che dice di cifrare.