Кратък обзор:

  • Изследователи разследват кампания за злоупотреба от страна на самостоятелен хакер, който използва откраднати, но все още валидни идентификационни данни за Microsoft Entra ID, за да влиза в среди на Microsoft 365 и Azure при различни доставчици на управляеми услуги (MSP), според скорошен доклад на Todyl.
  • Хакерът е насочил атаките си към 45 регистрации на приложения в около 18 организации и успешно се е удостоверил в поне 33 от тях. Впоследствие атакуващият е успял да получи достъп до 27 организации, включително крайни клиенти на тези доставчици на управляеми услуги в различни сектори като енергетика, държавно управление, хранително-вкусова промишленост и земеделие, транспорт и строителство.
  • След това хакерът е извършил търсения в 25 клиентски среди (tenants), като е изтеглил общо 81 файла и е получил достъп до около 2300 елемента от пощенски кутии, се посочва в доклада. Изследователите от Todyl твърдят, че опитите за хакерски пробиви продължават.

Задълбочен поглед:

Операцията в много отношения действа като саморазпространяващ се червей. Изследователите смятат, че един-единствен оператор използва виртуален частен сървър (VPS), за да преминава през запас от откраднати идентификационни данни, събрани преди 1 ноември, и след това да пробива доставчици на управляеми услуги с машинна скорост.

Около 95% от влизанията са извършени чрез скриптирани клиенти, според доклада. Изследователите отбелязват бързи серии от 24 влизания в рамките на 10 секунди, последвани от фиксирани цикли за повторен опит от 11 секунди.

Изследователите от Huntress са проследили активността до IP адрес на хостинг, базиран в Полша.

Ритъмът и скоростта съвпадат с използването на инструменти, подпомагани от изкуствен интелект, но изследователите не са успели да свържат атаките с конкретен агентен работен процес. Те все пак отбелязват, че няма доказателства, които пряко да свързват тези атаки със скорошната кампания, асоциирана с ConnectWise Cloud Backup.

Злонамереният субект, свързан с кампанията срещу ConnectWise, е злоупотребил с агентен инструмент, наречен Artex, който обикновено се използва за тестове за проникване и е свързан със серия от сложни атаки по целия свят, насочени към японски компании и южнокорейски банки.