هشدار مایکروسافت درباره حملات هوش مصنوعی مرتبط با ConnectWise

به گزارش Petri، مایکروسافت کارزاری را شناسایی کرده است که در آن گروه همسو با چین Storm-0940 از چارچوب متن‌باز تست نفوذ ARTEX برای خودکارسازی و سرعت‌بخشیدن به حملات ابری استفاده کرده است. بخشی از این فعالیت به رخنه اخیر در زنجیره تأمین ConnectWise مرتبط است و مدیران زیرساخت‌های Microsoft 365 باید مجوزهای برنامه‌های شخص ثالث و نشانه‌های دسترسی غیرعادی را با دقت بازبینی کنند.

حرکت از شناسایی تا دسترسی ممتاز در چند ساعت

بر اساس یافته‌های Microsoft Threat Intelligence، مهاجمان پس از در اختیار گرفتن یک برنامه چندمستاجری ConnectWise، از ARTEX برای اجرای خودکار شناسایی، حملات password spraying، سوءاستفاده از اعتبارنامه‌ها و افزایش سطح دسترسی در محیط ابری بهره بردند. این عملیات هزاران مستاجر پایین‌دستی را هدف قرار داد و امکان آزمودن هم‌زمان چند مسیر نفوذ را با سرعت بالا فراهم کرد. مایکروسافت تلاش برای ورود به بیش از ۲۲۵۰ مستاجر را مشاهده کرده و گفته است مهاجمان در چند مورد، در کمتر از سه ساعت به دسترسی ممتاز ابری رسیده‌اند. پس از احراز هویت از مسیر برنامه‌های مورد اعتماد، فعالیت‌هایی مانند شناسایی از طریق Microsoft Graph، تغییر اعتبارنامه‌های برنامه برای حفظ ماندگاری و تلاش برای تغییر امتیازهای دسترسی ثبت شده است. نکته مهم این کارزار صرفاً استفاده از هوش مصنوعی نیست؛ ترکیب یک برنامه شخص ثالث مورد اعتماد با عامل‌های خودکار، زمانی را که تیم امنیت برای بررسی هشدار و مهار حمله در اختیار دارد به‌شدت کاهش داده است. فرایندی که ممکن بود روزها یا هفته‌ها طول بکشد، در این نمونه طی چند ساعت پیش رفته است.

اقدام‌های پیشنهادی برای تیم‌های فناوری اطلاعات

مایکروسافت توصیه کرده است سازمان‌ها برنامه‌های شخص ثالث را دارایی‌های امنیتی باارزش تلقی کنند و مجوزهای برنامه‌های تحت تأثیر، ورودهای service principal، گزارش‌های ممیزی و تغییرات اعتبارنامه‌ها را فوراً بررسی کنند. اعمال اصل کمترین سطح دسترسی برای برنامه‌های OAuth، پایش واگذاری غیرمنتظره امتیازها، بررسی اضافه‌شدن اعتبارنامه‌های تازه و تحلیل فعالیت غیرعادی Microsoft Graph نیز از اقدامات پیشنهادی است. ابزارهایی مانند Microsoft Defender XDR، Microsoft Defender for Cloud Apps، Microsoft Entra و Security Dashboard for AI می‌توانند به شناسایی و بررسی تهدیدهای مبتنی بر هوش مصنوعی کمک کنند. با این حال، سازمان‌ها باید اطمینان یابند اصلاحات فروشنده تمام مسیرهای دسترسی غیرمجاز را بسته است و تنها به دریافت یک اعلان رفع مشکل بسنده نکنند. برای کسب‌وکارهایی که سرویس‌های ابری و هویت سازمانی خود را به ابزارهای مدیریتی بیرونی متصل کرده‌اند، این رخداد بر ضرورت فهرست‌برداری از برنامه‌های متصل، بازبینی دوره‌ای مجوزها و آماده‌بودن تیم پاسخ‌گویی تأکید دارد. جمع‌بندی این است که هوش مصنوعی هم‌زمان با افزایش توان دفاعی، سرعت عملیات مهاجمان را نیز بالا برده و پنجره واکنش تیم‌های امنیتی را کوتاه‌تر کرده است.