ConnectWise-hack: AI bestormde 2.250 M365-tenants

Microsoft Threat Intelligence heeft onderzoek gepubliceerd waarin het de inbraak bij ConnectWise Cloud Backup toeschrijft aan Storm-0940, een groep die het als China-staatsgelieerd beschouwt. Het opvallendste is niet de dader, maar het gereedschap: het werk werd gedaan door ARTEX, een open source pentestframework dat met AI-agents een volledige inbraak uitvoert.

Op machinesnelheid

ARTEX is volgens Microsoft een multi-agent LLM-systeem, geschreven in Go met een Next.js-frontend, dat met vrijwel elk AI-model werkt. De agents lopen een pentest af van verkenning tot en met data-exfiltratie, met weinig menselijke tussenkomst. Microsoft zag meerdere gevallen waarin er minder dan drie uur zat tussen het uitkiezen van een doelwit en verhoogde rechten in de cloudomgeving van dat doelwit.

Dat tempo is het punt. Zulke activiteit genereert juist veel logregels en alarmen, schrijft Microsoft, maar ze komt zo snel dat verdedigers nauwelijks tijd hebben om te reageren. Tussen 10 en 14 oktober voerde infrastructuur op 144.172.64.99 een password spray uit tegen 327 accounts bij acht organisaties, gericht op Microsoft 365 en Exchange Online: ruim 151.000 mislukte aanmeldingen, met op 11 oktober een piek van 2.900 per minuut. Bijna 98 procent daarvan eindigde in een accountlockout, en geen enkele poging slaagde.

Via de app naar de tenant

Wat daarna kwam wel. Na het buitmaken van de identiteiten van meerdere ConnectWise-cloudapplicaties meldden de agents zich met die gestolen app-credentials aan bij klantomgevingen, en gebruikten zo het vertrouwen dat die apps al in een tenant hadden. Een interactieve gebruikersaanmelding is daarvoor niet nodig. Microsoft telde aanmeldpogingen bij meer dan 2.250 tenants.

In een deel van die omgevingen gingen de agents verder via Microsoft Graph: verkenning, het toevoegen van app-credentials en wijzigingen aan gebruikers, groepen en bevoorrechte rollen. Microsoft waarschuwt expliciet dat zulke wijzigingen als achterdeur blijven werken, ook nadat de oorspronkelijke app is opgeruimd. Volgens Microsoft is er niet ingebroken in Microsoft-systemen zelf, en betekent de aanwezigheid van een getroffen app, of zelfs een geslaagde aanmelding, niet automatisch dat er data is ingezien.

Waarom dit Nederlandse beheerders raakt

ConnectWise Cloud Backup heette eerder SkyKick en wordt ook hier door managed service providers gebruikt om Microsoft 365-data van klanten te back-uppen. Zo'n koppeling heeft per definitie ruime rechten op mail, SharePoint en OneDrive. ConnectWise houdt in zijn advisory, op basis van de dreigingsinformatie van Microsoft, eveneens een China-staatsgelieerde groep verantwoordelijk. Het bedrijf resette op 19 oktober alle accounts en credentials in de getroffen omgeving. Cloud Backup, SaaS Security en Cloud Management liggen nog deels stil en komen in fases terug, wat nog dagen duurt. De backuparchieven zijn volgens ConnectWise versleuteld, geisoleerd en niet aangetast.

Belangrijk: die maatregelen bij ConnectWise halen geen toegang weg die al in een individuele tenant is achtergelaten. Dat moet per tenant worden nagekeken.

Wat je nu kunt doen

Microsoft adviseert:

• Houd de ConnectWise-appverbindingen uitgeschakeld tot ConnectWise formele herstelinstructies publiceert.
• Verwijder enterprise applications niet als eerste reflex. Bewaar eerst de configuratie en het bewijs.
• Zoek in elke tenant waar een van de apps ooit is geinstalleerd of goedgekeurd op applicatie-ID en niet op weergavenaam. Microsoft noemt in zijn hunting-query's 506e08f9-6e9a-4da4-942b-a099a03644ae (Cloud Backup), 24205314-2b89-4e07-a2a4-579e898a5640 (MS Teams) en 0de14c77-b9b0-4137-9360-34878a929827 (MS Graph).
• Bewaar de Entra-aanmeldings- en auditlogs en Purview-auditlogs voordat de bewaartermijn verstrijkt.
• Bekijk service-principal-aanmeldingen vanaf minstens 15 oktober, en waar de logs het toelaten vanaf 1 oktober. Neem geslaagde en mislukte aanmeldingen apart door en kijk niet alleen naar de gepubliceerde IP-adressen.
• Controleer de Entra-auditlogs op toegevoegde app-credentials, nieuwe applicaties, service principals of eigenaren, consent grants, bevoorrechte rollen en wijzigingen in Conditional Access of authenticatiemethoden.
• Controleer de Microsoft 365-auditlogs op ongebruikelijke mail- en bestandstoegang, forwarding, inbox- en transportregels en gedelegeerde mailboxrechten.