ConnectWise Cloud Backup攻撃に中国関連の攻撃グループが関与か

セキュリティ研究者らは、ConnectWise Cloud Backupを悪用してMicrosoft 365テナントを狙ったサプライチェーン攻撃について、中国と関係のある攻撃グループの関与を指摘しました。  

国家と連携しているとされるこのグループは「Storm-0940」として追跡されています。Artexと呼ばれるエージェント型AIのペネトレーションテストツールを使い、世界中の数百の組織に対する攻撃を自動化していました。Microsoftが水曜日に公表したレポートで明らかになりました。 

ConnectWiseのManny Rivelo最高経営責任者（CEO）は、Microsoftの調査結果を認める声明で次のように述べました。「国家支援の攻撃者は、ソフトウェアのサプライチェーンを狙う動きを強めています。信頼された接続がひとつあれば、多数の組織に侵入できるためです。AIの登場により、攻撃者はMicrosoftが『マシンスピード』と呼ぶ速さで、そうした接続を試せるようになりました」

ConnectWise Cloud Backupは、マネージドサービスプロバイダー（MSP）を通じて提供されるバックアップ・復旧サービスです。Microsoft 365とGoogle Workspaceのデータを保護するために使われています。以前の名称はSkyKickでした。 

ConnectWiseは、10月14日に不審な動きを最初に検知したことを受け、Cloud Backupへのアクセスを停止しました。通常はCloud Backupと連携しているSaaS SecurityおよびCloud Managementの各サービスも停止しています。 

Riveloによると、ConnectWiseは現在、段階的に管理された形でサービスの復旧を開始しています。ただし同社は顧客に対し、同社から直接指示があるまで接続を無効のままにしておくよう呼びかけています。

Microsoftによると、ArtexはGo言語で書かれたマルチエージェント型のLLMシステムで、フロントエンドにはNext.jsを採用しています。中国で開発されたこのオープンソースツールは、さまざまなAIモデルと連携して攻撃を自動化できます。

このツールは、偵察からデータの持ち出しまで、幅広い用途に使えるペネトレーションテストを自動化します。

Microsoftによれば、このAIツールによって攻撃者は、ユーザーの対話的なサインイン処理を経ることなく、Microsoft 365環境へ認証できたということです。 

レポートによると、攻撃グループはConnectWiseへの攻撃で不正アクセスに成功した後、2,250を超えるMicrosoft 365テナントに対し、1分間に2,900回のペースでサインインを試みました。この速度は、大半の防御側が阻止できる水準をはるかに上回っています。 

10月10日から14日にかけて、攻撃者は8つの組織にまたがる327の組織を標的にパスワードスプレー攻撃を実行し、Microsoft 365やExchange Onlineの環境への到達を試みました。Microsoftのテレメトリでは、この期間に15万1,000件のログイン失敗が確認されています。 

CrowdStrikeの研究者らは、韓国の銀行を狙ったAIベースの一連の攻撃にArtexが関連していると結論づけています。日本の研究者らも、日本企業を狙った攻撃キャンペーンにこのツールが使われたと指摘しています。 

Huntressの研究者らは、Microsoftのレポートが、同社がセキュリティ顧客に対して観測した脅威活動と一致すると述べました。 

Huntressのプリンシパル・セキュリティオペレーション・アナリストであるJon Semon氏は、Cybersecurity Diveの取材に次のように語りました。「今回の攻撃は、スクリプト化されたツールを活用するAIエージェントが、ときおり人間の介入を受けながら実行したというのが、私たちの作業仮説です。活動の展開の仕方はこの見方を強く裏付けており、エージェント主導の活動というMicrosoftの説明とも一致します」

Semon氏によると、スクリプト化されたユーザーエージェントの痕跡や、顧客テナント内で自らにグローバル管理者権限を付与したConnectWiseのアプリケーションは、Huntressがレポートで示した証拠と合致しています。