Útočníci přes ConnectWise zacílili na 2 250 prostředí Microsoft 365

Čínská skupina Storm-0940 zneužila přihlašovací údaje aplikací ConnectWise k útokům na více než 2 250 prostředí Microsoft 365. V části napadených organizací získala trvalý privilegovaný přístup.

Microsoft uvádí, že útočníci využili ARTEX, volně dostupný nástroj pro automatizované testování zabezpečení. Jeho AI agenti dokážou samostatně provádět průzkum, hledat slabiny, zkoušet přihlašovací údaje a získávat data. Storm-0940 nástroj používá nejméně od září 2026.

Mezi 10. a 14. říjnem skupina provedla přes 151 000 neúspěšných pokusů o přihlášení k 327 účtům v osmi organizacích. Tato část útoku podle Microsoftu k úspěšnému přihlášení nevedla. Útočníci proto přešli k využití kompromitovaných přihlašovacích údajů aplikací ConnectWise.

S jejich pomocí využili oprávnění, která zákazníci dříve udělili cloudovým službám ConnectWise. Nepotřebovali přitom přihlášení konkrétního uživatele. Útok dosahoval až 2 900 pokusů za minutu. Útočníci také měnili přihlašovací údaje aplikací a pokoušeli se rozšířit svá oprávnění.

ConnectWise po odhalení neoprávněného přístupu odpojil služby Cloud Backup, SaaS Security a Cloud Management. Zabezpečil dotčená připojení a služby postupně obnovuje. Samotné odpojení však nemusí odstranit přístup útočníků, pokud si už vytvořili jinou cestu do napadeného prostředí.

Většina pokusů neuspěla. Microsoft ani ConnectWise nezveřejnily přesný počet napadených zákazníků a nepotvrdily, zda unikla data. Úspěšné přihlášení podle Microsoftu samo o sobě neznamená, že útočníci uložené informace skutečně otevřeli.

Organizace, které služby ConnectWise nepoužívají, podle dostupných informací bezprostředně zasaženy nejsou. V některých napadených prostředích však útočníci získali vyšší oprávnění za méně než tři hodiny. U aplikací připojených k Microsoft 365 je proto důležitý přehled o udělených oprávněních i možnost ověřit, zda po zrušení původních přihlašovacích údajů nezůstal aktivní jiný přístup.