A invasão da ConnectWise foi conduzida por software, a 2900 tentativas de início de sessão por minuto

No fim de semana passado a ConnectWise desligou o seu próprio serviço Cloud Backup depois de alguém ter usado as credenciais da aplicação para entrar nas contas Microsoft 365 dos clientes. Na altura o número andava pelos 300 inícios de sessão bem-sucedidos. A Microsoft publicou o resto da história a 21 de outubro, e é bastante maior do que isso.

A Microsoft atribui a campanha ao Storm-0940, um grupo alinhado com o Estado chinês que acompanha desde 2021, e esclarece que os atacantes não estavam a escrever. Conduziam o ARTEX, uma estrutura de testes de intrusão de código aberto construída como um sistema multiagente à volta de um grande modelo de linguagem, que trata de tudo, do reconhecimento ao roubo dos dados, com muito pouca intervenção humana. Os números que produziu são o essencial. Mais de 2250 inquilinos tentados. Mais de 2900 tentativas de início de sessão por minuto. Mais de 200 entradas bem-sucedidas em menos de quatro minutos com quatro credenciais de aplicação. Em vários casos, menos de três horas entre o primeiro contacto e o acesso privilegiado. Em quatro dias até 14 de outubro atirou 151 000 inícios de sessão falhados contra 327 contas em oito organizações.

O resumo da própria Microsoft é a frase a guardar: os agentes «podem trabalhar a toda a hora, aos fins de semana e nos feriados, e tentar vários caminhos de intrusão ao mesmo tempo». Adivinhar palavras-passe era antes suficientemente lento para que ninguém se incomodasse com a conta de uma pessoa comum. Essa trava desapareceu. O que quer dizer que a distância entre uma palavra-passe reutilizada em todo o lado e outra usada uma só vez deixou de ser teórica, e o que protege uma caixa de correio deve ser uma chave de acesso ou uma palavra-passe longa e única, não o nome do cão seguido de um número.

Quase toda esta luta acontece em servidores que nunca vai ver. A verificação da postura de segurança do Tendvane cobre a parte que é mesmo sua, incluindo se o BitLocker está de facto a cifrar o disco que diz cifrar.