ב-11 באוקטובר נרשמו ביומני ההתחברות של מיקרוסופט יותר מ-111 אלף ניסיונות התחברות כושלים ביום אחד, בשיא של 2,900 בדקה. מאחורי הקצב הזה לא עמד צוות גדול של אנשים אלא תוכנה שמריצה סוכני AI, ולפי מיקרוסופט היא עבדה בשירות קבוצה שהחברה מעריכה שהיא מזוהה עם סין.

מה קרה

ההודעה שמיקרוסופט פרסמה ב-21 באוקטובר מייחסת סוף סוף שם לפריצה לשירות הגיבוי ConnectWise Cloud Backup, המקרה שבו מפתח סודי של הספק נמצא בידיים עוינות ושימש להתחברות לסביבות Microsoft 365 של לקוחותיו, וסוקר כאן ב-17 באוקטובר. לפי מיקרוסופט מדובר בקבוצה שהיא מסמנת Storm-0940, פעילה לפחות מ-2021, ושתועדה כבר ב-2024 כשניחשה סיסמאות דרך רשת מכשירים נגועים בשם Quad7.

החידוש הוא הכלי. הקבוצה הריצה, לפי החברה, מסגרת שמפעילה סוכני AI שעושים בעצמם את שלבי העבודה של בודק חדירות: סורקים, אוספים מידע, מנסים סיסמאות, מחפשים אפליקציות שאפשר לנצל. למסגרת הזאת קוראים ARTEX, היא כתובה ב-Go, והיוצרים שלה סגרו את הקוד אחרי שהיא שימשה לתקוף מוסדות פיננסיים בקוריאה הדרומית. מיקרוסופט מוסיפה שהיא רואה קבוצות באזורים שונים בעולם שמשתמשות באותה מסגרת.

המספרים מגיעים מהיומנים של מיקרוסופט עצמה. בין 10 ל-14 באוקטובר רצה מכתובת IP אחת מתקפת ניחוש סיסמאות על 327 חשבונות בשמונה ארגונים, ונרשמו יותר מ-151 אלף כישלונות התחברות, מהם 48 חשבונות שספגו יותר מאלף ניסיונות כל אחד. באותו חלון, לפי החברה, שום התחברות לא הצליחה. ב-15 באוקטובר זה השתנה: הסוכנים השיגו את הזהויות של כמה מאפליקציות הענן של ConnectWise והתחילו להתחבר דרכן לסביבות של לקוחות. התחברות כזאת לא דורשת את הסיסמה של אף אדם, היא רוכבת על האמון שהארגון כבר נתן לאפליקציה. מיקרוסופט מדווחת על ניסיונות מול יותר מ-2,250 סביבות לקוח, ועל מקרים שבהם הסוכנים המשיכו משם לשינוי פרטי האימות של האפליקציה ולשינויים בהרשאות ובקבוצות, שינויים שלפי החברה עשויים להשאיר פתח גישה גם אחרי שהאפליקציה המקורית טופלה.

למה זה חשוב לכם

בכמה מהמקרים, לפי מיקרוסופט, עברו פחות משלוש שעות מהרגע שארגון נבחר כמטרה ועד שהתוקף החזיק בהרשאות גבוהות בענן שלו. זה לא פרק זמן שמאפשר למישהו להתעורר ממייל התראה ולהתארגן. מול קצב כזה נשארות שתי הגנות שעובדות, ושתיהן בידיים שלכם: שהסיסמה שלכם לא מופיעה באף רשימה שרצה בניסיונות האלה, ושסיסמה נכונה לבדה לא מספיקה כדי להיכנס לחשבון.

מה עושים?

הפעילו אימות דו-שלבי בתיבת המייל ובחשבון העבודה. סיסמה שנוחשה נכון לא פותחת את החשבון כשנדרש גם קוד חד-פעמי.

אל תשתמשו באותה סיסמה בשני אתרים. סיסמה שדלפה מאתר אחד היא בדיוק החומר שנכנס לרשימות הניחוש של מתקפות כאלה.

בארגון שעובד עם ספק IT חיצוני, בקשו רשימה של האפליקציות שיש להן גישה לסביבת Microsoft 365, והסירו את אלה שאינן בשימוש.

היכנסו ליומן ההתחברויות של החשבון ובדקו אם מופיעות בו התחברויות מכתובות או ממדינות שאינן שלכם.

מה שהתחדש כאן הוא לא סוג המתקפה אלא הקצב שלה, וסוכן שמנסה סיסמאות לא מתעייף בשתיים בלילה.