Tấn công qua “cánh cửa” đáng tin cậy
Dịch vụ Cloud Backup của ConnectWise, trước đây có tên SkyKick, được các nhà cung cấp dịch vụ quản lý – những công ty bên ngoài vận hành hệ thống công nghệ thông tin cho nhiều doanh nghiệp – dùng để sao lưu và khôi phục email, tệp tin của khách hàng trên Microsoft 365 và Google Workspace. Để làm việc đó, ứng dụng được cấp quyền rộng trong môi trường đám mây của khách hàng. Theo Microsoft, kẻ tấn công nhiều khả năng đã lạm dụng các quyền mà khách hàng cấp trước đó cho ứng dụng đáng tin cậy này để giành quyền truy cập vào nhiều tổ chức.
Đó chính là bản chất của tấn công chuỗi cung ứng: thay vì đột nhập từng nạn nhân, tin tặc xâm nhập một nhà cung cấp duy nhất mà nhiều tổ chức đã tin tưởng. Công ty bảo mật Huntress cho biết đã ghi nhận các nỗ lực đăng nhập vào hơn 1.000 môi trường đám mây Microsoft mà họ giám sát, trong đó hơn 300 trường hợp thành công. Hoạt động độc hại được phát hiện lần đầu ngày 15/10.
Công cụ AI trong tay tin tặc
Điều khiến chiến dịch này nổi bật là công cụ đứng sau nó. ARTEX là một bộ khung kiểm thử xâm nhập mã nguồn mở – loại phần mềm mà các chuyên gia bảo mật dùng hợp pháp để dò tìm điểm yếu của mạng lưới trước khi tội phạm làm điều đó. Microsoft cho biết ARTEX cho phép người dùng gắn bất kỳ mô hình AI nào để tự động hóa nhiều tác vụ và có thể được cấu hình để chạy tự động, bao gồm trinh sát và trích xuất dữ liệu.
