Theo The Epoch Times ngày 25/10, Microsoft công bố kết quả điều tra hôm 21/10. Hãng theo dõi Storm-0940 từ năm 2021 và quy kết cho nhóm này vụ xâm nhập thông tin xác thực của các ứng dụng ConnectWise Cloud Backup. Các ứng dụng vốn đã được khách hàng cấp quyền truy cập dịch vụ đám mây Microsoft; sau khi lấy được thông tin xác thực, kẻ tấn công có thể lợi dụng quyền sẵn có mà không cần nhân viên khách hàng đăng nhập hoặc chấp thuận yêu cầu mới.
Microsoft nói Storm-0940 dùng ARTEX, một công cụ kiểm thử bảo mật do nhà phát triển Trung Quốc tạo ra, để tự động hóa việc rà quét, thử mật khẩu và khai thác quyền truy cập của ứng dụng. Mục tiêu trải rộng từ cơ quan chính phủ, nhà thầu quốc phòng đến tổ chức tài chính, công nghệ và nhiều lĩnh vực khác. Ở một số tổ chức, nhóm này đạt quyền quản trị cao trong chưa đầy ba giờ kể từ khi bắt đầu nhắm mục tiêu.
Trong vụ ConnectWise, các tác nhân đã thử đăng nhập vào hơn 2.250 môi trường Microsoft 365 của khách hàng. Microsoft nhấn mạnh đây là số môi trường bị thử truy cập, không phải số nạn nhân đã bị xâm nhập thành công. Tại một số nơi, hãng quan sát thấy hoạt động khảo sát tài nguyên đám mây, sửa thông tin xác thực ứng dụng và tìm cách thay đổi quyền hạn. Những thay đổi này có thể duy trì đường truy cập trái phép ngay cả sau khi thông tin xác thực ban đầu bị vô hiệu hóa.
Báo cáo của Microsoft Security nói sự hiện diện của ứng dụng bị ảnh hưởng, thậm chí một lần xác thực thành công, không tự nó chứng minh dữ liệu khách hàng đã bị truy cập hoặc lấy đi. Hãng cũng cho biết hoạt động này không bắt nguồn từ việc hệ thống hay sản phẩm của Microsoft bị xâm nhập hoặc có lỗ hổng.
ARTEX ban đầu được phát triển để giúp chuyên gia bảo mật kiểm thử điểm yếu hệ thống. Công cụ có thể dùng mô hình AI lập kế hoạch, chỉ đạo các công cụ khác và thử nhiều đường vào mạng với ít can thiệp của con người. Microsoft nhận định việc tự động hóa giúp nhóm tấn công hoạt động đồng thời trên nhiều mục tiêu và khai thác thông tin xác thực bị đánh cắp với tốc độ cao. Phần lớn nỗ lực nhắm mục tiêu không thành công, nhưng hãng cho biết nhiều tổ chức đã bị thiết lập quyền truy cập đám mây đặc quyền có thể tồn tại dai dẳng.
The Epoch Times dẫn các báo cáo trước đây cho biết ARTEX từng xuất hiện trong những vụ nhắm vào tổ chức tài chính Hàn Quốc và doanh nghiệp Nhật Bản. Nhà điều tra Nhật phát hiện công cụ này trên sáu máy chủ ở nước ngoài, nhắm vào khoảng 80 doanh nghiệp. Microsoft không quy kết Storm-0940 là thủ phạm của các vụ việc trước đó. DKN.TV từng đưa tin về vụ nhắm vào doanh nghiệp Nhật; kết quả điều tra mới của Microsoft làm rõ hoạt động quy mô toàn cầu và vụ ConnectWise.
Người tạo ARTEX, dùng tên trực tuyến Autumn-27, lên án việc lạm dụng công cụ trong tuyên bố ngày 8/10 và phủ nhận liên quan các cuộc tấn công được báo cáo. Người này nói dự án sẽ ngừng cập nhật, bảo trì công khai và chuyển sang mã nguồn đóng. Công ty an ninh mạng Trung Quốc ThreatBook cho biết ngày 16/10 ARTEX bắt nguồn từ dự án cá nhân của người phụ trách sản phẩm RedAgents thuộc công ty; bản mã nguồn mở đã bị lạm dụng trong các sự cố lớn ở lĩnh vực tài chính và thiếu cơ chế kiểm soát an toàn tích hợp.
ConnectWise thông báo cập nhật ngày 25/10 rằng đã phát hiện truy cập trái phép thông tin xác thực liên quan Cloud Backup, tên cũ SkyKick. Hãng cho biết các kho sao lưu hiện có vẫn được mã hóa, cô lập và bảo toàn, chưa có dấu hiệu bị xâm nhập; điều đó không xác định tình trạng của từng môi trường Microsoft 365 phía khách hàng. Sự cố làm gián đoạn dịch vụ Cloud Backup trong lúc công ty và chuyên gia bên ngoài điều tra, khôi phục. ConnectWise dự kiến bắt đầu cho đối tác truy xuất dữ liệu từ bản sao lưu hiện có vào ngày 26/10 sau kiểm thử, rồi từng bước cho đăng ký lại dịch vụ.
ConnectWise khuyến cáo khách hàng tiếp tục vô hiệu hóa các kết nối ứng dụng bị ảnh hưởng cho đến khi có hướng dẫn khôi phục chính thức, đồng thời kiểm tra môi trường Microsoft 365 để phát hiện hoạt động trái phép. Microsoft khuyến nghị xem lại nhật ký đăng nhập của ứng dụng, các thay đổi bất thường về thông tin xác thực và quyền quản trị, đồng thời bảo toàn bằng chứng phục vụ điều tra.
Nguồn: The Epoch Times; đối chiếu Microsoft Security và ConnectWise Trust Center.