Hacker Trung Quốc sử dụng AI agent để xâm nhập ConnectWise và theo dõi hàng nghìn tổ chức

Các hacker được nhà nước Trung Quốc bảo trợ đã xâm nhập vào gã khổng lồ quản lý IT ConnectWise, đánh cắp thông tin đăng nhập ứng dụng cho phép chúng theo dõi hàng nghìn khách hàng doanh nghiệp. Các nhà nghiên cứu bảo mật tại Microsoft xác nhận vụ xâm nhập vào dịch vụ sao lưu đám mây của ConnectWise, làm lộ các liên kết dữ liệu mà các công ty sử dụng để sao lưu thông tin.

Những kẻ tấn công đã khai thác trí tuệ nhân tạo để tự động hóa việc lợi dụng các thông tin đăng nhập bị đánh cắp này, nhắm mục tiêu vào khoảng 2.250 tổ chức trong một chiến dịch phối hợp nhanh chóng. Sự cố này nhấn mạnh mối đe dọa ngày càng tăng khi các công cụ AI không còn là rủi ro lý thuyết mà trở thành thành phần hoạt động tích cực trong các chiến dịch gián điệp mạng quy mô lớn.

Chuyện gì đã xảy ra

Các nhà nghiên cứu bảo mật tại Microsoft xác định rằng những kẻ tấn công đã đột nhập vào dịch vụ sao lưu đám mây của ConnectWise. Những kẻ xâm nhập không chỉ đánh cắp dữ liệu tĩnh; chúng trích xuất thông tin đăng nhập ứng dụng. Những thông tin đăng nhập này rất quan trọng vì chúng thiết lập các liên kết dữ liệu tin cậy giữa ConnectWise và khách hàng doanh nghiệp. Nhiều khách hàng trong số này dựa vào dịch vụ đám mây để sao lưu dữ liệu công ty, nghĩa là thông tin đăng nhập bị xâm phạm cung cấp một con đường trực tiếp vào hệ thống nội bộ của họ.

Khi những kẻ tấn công sở hữu các thông tin đăng nhập này, chúng có thể đăng nhập vào môi trường do Microsoft lưu trữ của khách hàng như thể chúng là người dùng được ủy quyền. Mức độ truy cập này cho phép chúng xem email, truy cập tệp và giám sát hoạt động mà không gây nghi ngờ ngay lập tức. Vụ vi phạm hiệu quả biến một mối quan hệ nhà cung cấp đáng tin cậy thành điểm yếu cho hàng nghìn doanh nghiệp đã đặt niềm tin vào cơ sở hạ tầng của ConnectWise.

ConnectWise phản hồi bằng cách tạm dừng quyền truy cập vào hệ thống sao lưu đám mây để ngăn chặn thiệt hại. Công ty tuyên bố đang tích cực điều tra vụ vi phạm và làm việc để khôi phục dịch vụ. Tính đến thứ Năm, các nỗ lực khôi phục đang được tiến hành, nhưng phạm vi phơi bày dữ liệu vẫn là mối lo ngại đáng kể đối với các tổ chức bị ảnh hưởng.

Cách thức hoạt động

Quy mô và tốc độ của cuộc tấn công này được thúc đẩy bởi việc sử dụng các AI agent. Microsoft báo cáo rằng những kẻ tấn công đã thử đăng nhập với tốc độ gần 3.000 lần mỗi phút. Khối lượng này khó có thể được các đội bảo mật con người quản lý thủ công, vì nó làm quá tải các công cụ giám sát truyền thống và khiến các bên phòng thủ ít thời gian để phát hiện và phản ứng với các bất thường.

Công cụ cụ thể được sử dụng là ARTEX, một khung AI mã nguồn mở được thiết kế để làm việc với các mô hình AI nhằm kiểm tra áp lực (stress-test) các biện pháp phòng thủ cyber. Trong bối cảnh này, những kẻ tấn công đã tái sử dụng một công cụ dành cho kiểm thử phòng thủ thành vũ khí tấn công. ARTEX tự động hóa quy trình sử dụng thông tin đăng nhập bị đánh cắp để thử truy cập đồng thời qua hàng nghìn tài khoản, loại bỏ nhu cầu can thiệp thủ công và cho phép những kẻ tấn công mở rộng quy mô hoạt động một cách hiệu quả.

Phần mềm AI tương tự trước đây đã được liên kết với sự xâm phạm các hệ thống tài chính của Hàn Quốc. Trong trường hợp đó, nhiều hệ thống bị nhắm mục tiêu có giao thức bảo mật yếu và thiếu xác thực đa yếu tố, khiến chúng dễ bị tổn thương trước các cuộc tấn công brute-force hoặc credential-stuffing tự động. Sự lặp lại của ARTEX trong các vụ vi phạm nổi tiếng này cho thấy các tác nhân được nhà nước bảo trợ đang chuẩn hóa bộ công cụ của họ xung quanh các khung AI mạnh mẽ và dễ tiếp cận.

Chi tiết chính

• Mục tiêu: ConnectWise, một nhà cung cấp quản lý IT và truy cập từ xa lớn.
• Kẻ tấn công: Hacker được nhà nước Trung Quốc bảo trợ, theo các nhà nghiên cứu bảo mật của Microsoft.
• Phương pháp: Xâm nhập dịch vụ sao lưu đám mây của ConnectWise để đánh cắp thông tin đăng nhập ứng dụng.
• Quy mô: Khoảng 2.250 tổ chức đã bị nhắm mục tiêu và truy cập.
• Công cụ: ARTEX, một khung AI mã nguồn mở được sử dụng để tự động hóa các nỗ lực đăng nhập ở mức gần 3.000 lần mỗi phút.
• Tác động: Hacker giành được quyền truy cập cấp độ ủy quyền vào các môi trường do Microsoft lưu trữ, bao gồm email và tệp.

Tại sao điều này quan trọng

Đối với các nhà phát triển phần mềm và lãnh đạo IT, sự cố này nhấn mạnh tính mong manh của an ninh chuỗi cung ứng. Khi một nhà cung cấp như ConnectWise bị xâm phạm, rủi ro lan truyền đến mọi khách hàng tin tưởng nhà cung cấp đó với liên kết dữ liệu của họ. Không còn đủ để chỉ bảo vệ ranh giới của riêng bạn; bạn cũng phải đánh giá tư thế bảo mật của các dịch vụ bên thứ ba tích hợp với cơ sở hạ tầng của mình. Việc đánh cắp thông tin đăng nhập ứng dụng đặc biệt nguy hiểm vì nó vượt qua các lớp bảo vệ cấp người dùng, cấp cho kẻ tấn công quyền truy cập mang tính hệ thống.

Việc sử dụng các AI agent như ARTEX thay đổi động lực của phản ứng sự cố. Các trung tâm vận hành bảo mật truyền thống dựa vào cảnh báo và điều tra của con người, nhưng tốc độ tấn công 3.000 lần đăng nhập mỗi phút nén cửa sổ quyết định xuống chỉ còn vài giây. Các bên phòng thủ giờ đây phải giả định rằng các mối đe dọa tự động sẽ vượt qua phản ứng thủ công. Điều này đòi hỏi sự chuyển dịch sang các cơ chế phòng thủ tự động có thể bắt kịp tốc độ của các cuộc tấn công do AI dẫn dắt, chẳng hạn như phát hiện bất thường thời gian thực và thu hồi thông tin đăng nhập tự động.

Hơn nữa, việc tái sử dụng ARTEX trong các bối cảnh địa chính trị khác nhau, từ lĩnh vực tài chính của Hàn Quốc đến các công ty quản lý IT toàn cầu, cho thấy các công cụ này đang trở nên phổ biến hóa giữa các tác nhân đe dọa tiên tiến. Các tổ chức không còn có thể coi các cuộc tấn công mạng tăng cường bởi AI là hiếm hoi hay thử nghiệm. Chúng là một thực tế dai dẳng đòi hỏi kiến trúc bảo mật cập nhật, bao gồm việc thực thi nghiêm ngặt xác thực đa yếu tố và nguyên tắc zero-trust cho tất cả các kết nối giữa dịch vụ với dịch vụ.

Bạn có thể làm gì

• Kiểm toán tất cả các tích hợp bên thứ ba và xác định những dịch vụ nào giữ thông tin đăng nhập ứng dụng cho môi trường của bạn.
• Triển khai xác thực đa yếu tố nghiêm ngặt cho tất cả các tài khoản quản trị và dịch vụ, đặc biệt là những tài khoản liên kết với sao lưu đám mây.
• Giám sát các mẫu đăng nhập bất thường, chẳng hạn như nỗ lực khối lượng lớn từ một nguồn duy nhất, và tự động hóa phản ứng để chặn chúng.
• Xem xét nhật ký truy cập để tìm bất kỳ mục nhập trái phép nào trong thời gian xảy ra vụ vi phạm ConnectWise nếu bạn là khách hàng.
• Áp dụng mô hình zero-trust nơi các kết nối giữa dịch vụ với dịch vụ yêu cầu xác minh liên tục, không chỉ thông tin đăng nhập ban đầu.
• Cập nhật thông tin về các công cụ bảo mật AI mã nguồn mở như ARTEX để hiểu cách chúng có thể được tái sử dụng cho các cuộc tấn công chống lại hệ thống của bạn.