Włamaniem do ConnectWise sterowało oprogramowanie, z prędkością 2900 prób logowania na minutę

W miniony weekend ConnectWise wyłączył własną usługę Cloud Backup, gdy ktoś użył jej poświadczeń aplikacyjnych, aby zalogować się do kont Microsoft 365 klientów. Mówiło się wtedy o około 300 udanych logowaniach. Microsoft opublikował resztę tej historii 21 października i jest ona wyraźnie większa.

Microsoft przypisuje kampanię grupie Storm-0940, powiązanej z państwem chińskim i śledzonej od 2021 roku, i zaznacza, że napastnicy wcale nie pisali na klawiaturze. Sterowali ARTEX-em, otwartoźródłowym frameworkiem do testów penetracyjnych zbudowanym jako system wieloagentowy wokół dużego modelu językowego, który ogarnia wszystko od rozpoznania po kradzież danych przy minimalnym udziale człowieka. Liczby, jakie wyprodukował, są tu sednem. Ponad 2250 zaatakowanych dzierżaw. Ponad 2900 prób logowania na minutę. Ponad 200 udanych logowań w niecałe cztery minuty przy użyciu czterech poświadczeń aplikacyjnych. W kilku przypadkach mniej niż trzy godziny od pierwszego kontaktu do uprzywilejowanego dostępu. W ciągu czterech dni zakończonych 14 października rzucił 151 000 nieudanych logowań na 327 kont w ośmiu organizacjach.

Podsumowanie samego Microsoftu to zdanie do zapamiętania: agenci «mogą pracować całą dobę, w weekendy i święta, oraz próbować wielu dróg włamania jednocześnie». Zgadywanie haseł było kiedyś na tyle powolne, że nikt nie zawracał sobie głowy kontem zwykłego człowieka. Ten hamulec zniknął. To znaczy, że różnica między hasłem używanym wszędzie a użytym raz przestała być teoretyczna, a skrzynki pocztowej powinien strzec klucz dostępu albo długie, niepowtarzalne hasło, nie imię psa z cyfrą na końcu.

Większość tej walki toczy się na serwerach, których nigdy nie zobaczymy. Kontrola stanu zabezpieczeń w Tendvane obejmuje tę część, która naprawdę należy do nas, łącznie z tym, czy BitLocker faktycznie szyfruje dysk, o którym tak twierdzi.