Зломом ConnectWise керувала програма, з темпом 2900 спроб входу за хвилину

Минулих вихідних ConnectWise вимкнула власну службу Cloud Backup після того, як хтось скористався її обліковими даними застосунку, щоб входити в акаунти Microsoft 365 клієнтів. Тоді йшлося приблизно про 300 успішних входів. Microsoft оприлюднила решту історії 21 жовтня, і вона значно більша.

Microsoft приписує кампанію групі Storm-0940, повʼязаній із китайською державою і відстежуваній від 2021 року, та уточнює, що зловмисники нічого не набирали руками. Вони керували ARTEX, фреймворком для тестування на проникнення з відкритим кодом, побудованим як багатоагентна система навколо великої мовної моделі, яка опрацьовує все від розвідки до викрадення даних майже без участі людини. Саме отримані цифри тут головні. Понад 2250 тенантів, до яких стукали. Понад 2900 спроб входу за хвилину. Понад 200 успішних входів менш ніж за чотири хвилини з чотирма обліковими даними застосунків. У кількох випадках менш ніж три години від першого контакту до привілейованого доступу. За чотири дні, що завершилися 14 жовтня, система кинула 151 000 невдалих входів на 327 акаунтів у восьми організаціях.

Власний підсумок Microsoft і є тією фразою, яку варто запамʼятати: агенти «можуть працювати цілодобово, у вихідні та свята і пробувати кілька шляхів прориву одночасно». Підбір паролів колись був достатньо повільним, щоб ніхто не марнував час на акаунт звичайної людини. Це обмеження зникло. А отже, різниця між паролем, який ви використовуєте всюди, і паролем, який ужито один раз, перестала бути теоретичною, і поштову скриньку має захищати ключ доступу або довгий унікальний пароль, а не кличка собаки з цифрою.

Більша частина цієї боротьби відбувається на серверах, яких ви ніколи не побачите. Перевірка стану безпеки в Tendvane охоплює ту частину, що справді ваша, зокрема чи BitLocker дійсно шифрує той диск, про який це стверджує.