MicrosoftがConnectWiseのサプライチェーン攻撃を中国政府系の脅威グループによるものと断定

Microsoftの研究者らは、ConnectWise顧客のMicrosoft 365環境を狙った最近のサプライチェーン攻撃について、同社が「Storm-0940」として追跡している中国政府系の脅威アクターによるものだと結論づけました。

Microsoft Security Researchは水曜日、ブログ記事で次のように報告しています。「Storm-0940は遅くとも2026年9月には、エージェント型AIのペネトレーションテスト用フレームワーク『ARTEX』を使い、幅広い業種にわたる世界中の数百組織を狙う攻撃を自動化していました」

この国家支援グループは2021年から活動しており、航空宇宙・防衛、自動車、化学、エネルギー、金融サービス、政府、法務、製造、メディア、軍事、半導体、ソフトウェア、テクノロジーの各分野の組織に加え、シンクタンクや非営利団体も標的にしてきました。

Storm-0940は、ConnectWiseのCloud Backupサービスを侵害する直前に、大規模なパスワードスプレー攻撃を仕掛けましたが、結果的には成功しませんでした。研究者らによると、同グループは10月14日までの4日間で、8組織のMicrosoft 365およびExchange Onlineアカウント327件を標的にしました。

この短期間の攻撃で、Microsoftは15万1,000回を超えるログオン失敗を確認しています。ピーク時には1分間に2,900回の失敗が発生しました。Storm-0940は翌日にConnectWiseに狙いを定め、AIエージェントと同じ悪意あるインフラを使って、ConnectWise Cloud Backup顧客の一連のMicrosoft 365環境を侵害しました。

Microsoftによると、Storm-0940はARTEXを使ってスキャンの高速化、パスワードスプレー攻撃の実行、下流の被害組織でのOAuthアプリケーションの悪用を行い、ConnectWiseのサプライチェーン攻撃で大きな優位を得ました。

研究者らは次のように述べています。「一部の環境では、AIエージェントが（脅威アクターに代わって）認証の突破にとどまらず、Microsoft Graphやディレクトリ操作にまで進みました。具体的には、偵察、永続化のためのアプリケーション資格情報の変更、ID・グループ・特権ロールに関わる変更などです。Microsoftは、後続の活動の痕跡がある顧客環境を複数確認しました。高い権限を持つサードパーティ製アプリケーションが侵害されると、本来の用途を超えたアクセスを許してしまう恐れがあります」

Microsoft Threat Intelligenceによると、複数の地域の脅威アクターがARTEXを使って攻撃能力を強化し、攻撃のテンポを速めています。

同社によると、このオープンソースのペネトレーションテスト用フレームワークは、あらゆるAIモデルと組み合わせて、さまざまな攻撃的セキュリティのワークフローを自動化できます。「ARTEXは、LLMで動作するエージェントの仕組みです。偵察からデータ窃取まで、ほとんど人手を介さずに自律的にペネトレーションテストを実行します」と説明しています。

ConnectWiseを狙った攻撃について、Microsoftは次のように述べています。「Storm-0940はARTEXを使い、1分間に2,900回のサインイン試行という速度で2,250を超えるテナントに到達しました。このペースでは、防御側が検知して対応する時間はほとんどありません」

Microsoftは、侵害された顧客の数については明らかにしていません。認証に成功したからといって、Storm-0940がデータにアクセスしたり盗み出したりしたとは限らないとも付け加えています。ただ研究者らは、同グループのAIエージェントが標的環境の資格情報を書き換え、永続的なアクセスやバックドアを確保する可能性もあると指摘しました。

ConnectWiseは攻撃を受けて土曜日にサービスを一時停止しました。水曜日には、段階的にサービスの復旧を開始したと発表しています。顧客には接続を無効のままにするよう呼びかけ、復旧には数日かかる見通しだとしています。

Microsoftのエグゼクティブ・バイスプレジデントであるIgor Tsyganskiy氏は水曜日、LinkedIn投稿で次のように書きました。「10月初旬から、AIを使ったサイバー攻撃の波が続いています」。ConnectWiseのサプライチェーン攻撃は、そのうちの「数ある事例の一つ」にすぎないと付け加えています。