I en rapport publicerad den 21 oktober beskriver Microsoft hur gruppen Storm-0940 sedan åtminstone september har använt ARTEX för att automatisera delar av sina angrepp. Verktyget är byggt för penetrationstester, alltså kontroller av hur system kan angripas, men har enligt Microsoft också använts av angripare.
Microsoft bedömer att samma grupp ligger bakom intrånget hos ConnectWise. Stulna åtkomstuppgifter för appar utnyttjades för att komma åt Microsoft 365-miljöer via applikationer som redan hade fått tillgång till kundernas system.
De flesta attackförsöken misslyckades, enligt Microsoft. Företaget har samtidigt sett flera fall där angriparna fick långtgående molnåtkomst på mindre än tre timmar. En lyckad inloggning är däremot inte i sig bevis för att uppgifter har lästs eller stulits.
Säkerhetsföretaget Huntress har separat bekräftat att ConnectWise-uppgifter missbrukats för obehörig åtkomst. I två undersökta kundmiljöer upptäcktes ändrade behörigheter och nya åtkomstuppgifter som kunde ge ett fortsatt fotfäste. Huntress betonar att det inte räcker att stänga av den ursprungligen drabbade appen om nya åtkomstvägar redan har skapats.
Intrånget är inte nytt för dagen. ConnectWise gick ut med sin första varning den 16 oktober. I en uppdatering den 22 oktober skriver bolaget att Cloud Backup, tidigare SkyKick, återställs stegvis och att arbetet väntas ta flera dagar. Berörda anslutningar ska hållas avstängda tills företaget ger instruktioner för respektive tjänst.
ConnectWise uppger att det inte finns tecken på att de lagrade backupkopiorna har komprometterats. Det beskedet innebär inte att varje kunds Microsoft 365-miljö är oskadd; de behöver granskas separat för obehöriga ändringar och kvarvarande åtkomst.
Kopplingen till kinesiska staten och AI-verktygets roll är Microsofts bedömning. Kinas ambassad i Washington säger till Reuters att landet bekämpar hackning och motsätter sig vad den beskriver som smutskastning.
