Telset.id – Aktor yang disebut selaras dengan negara China, Storm-0940, menggunakan ARTEX, sebuah framework pengujian penetrasi AI agentic open-source, dalam serangan rantai pasok ConnectWise berskala besar. Setelah mendapatkan akses tidak sah ke aplikasi multi-tenant, kelompok ini mencoba masuk ke lebih dari 2.250 tenant Microsoft 365 menggunakan kredensial aplikasi ConnectWise curian yang terautentikasi sebagai aplikasi tanpa proses sign-in pengguna interaktif. Microsoft mengungkap temuan ini melalui blog Security mereka, dan sebagian serangan kelompok tersebut mencapai akses istimewa kurang dari tiga jam setelah penargetan awal.
Penggunaan ARTEX mempercepat pemindaian dan pengintaian, password spraying, serta penyalahgunaan aplikasi OAuth. ARTEX dideskripsikan sebagai “sistem agen yang digerakkan LLM yang menjalankan pengujian penetrasi otonom.” Agen-agen ini dapat bekerja sepanjang waktu “dengan sedikit interaksi manusia yang dibutuhkan,” pada kecepatan yang “menyisakan sedikit waktu bagi defender untuk mendeteksi dan merespons.”
Masih belum pasti bagaimana kredensial ConnectWise dicuri atau berapa banyak tenant yang benar-benar disusupi. Storm-0940 aktif sejak 2021 dan merupakan “aktor selaras negara China” tanpa “alias industri yang diketahui,” dengan namanya mengikuti konvensi untuk aktor yang masih berkembang. Industri yang menjadi target kali ini mencakup aerospace dan pertahanan, semikonduktor, pemerintahan, dan think tank, dengan total 14 sektor terdaftar.
Microsoft menegaskan bahwa aktivitas tersebut “bukan akibat dari kompromi atau kerentanan” pada sistem, produk, atau layanan Microsoft. Pada puncaknya 11 Oktober, password spray melakukan 2.900 upaya per menit, semuanya gagal, dengan lebih dari 111.000 upaya pada hari itu, dan 48 akun mencatat lebih dari 1.000 kegagalan masing-masing. Hampir 98% aktivitas ini berhasil dikunci.
Namun, dengan kendali atas identitas beberapa aplikasi cloud ConnectWise, agen AI penyerang masuk ke tenant pelanggan dari rentang IP yang sama menggunakan kredensial aplikasi tersebut, dengan lebih dari 200 sign-in dalam waktu kurang dari empat menit menggunakan empat kredensial aplikasi. Operasi yang dilakukan di sejumlah tenant mencakup operasi Graph dan direktori, pengintaian, perubahan kredensial aplikasi, serta perubahan pada identitas, grup, dan peran istimewa.
Baca Juga:
Pada satu tenant di 15 Oktober, firma keamanan Huntress melihat sebuah aplikasi menambahkan dirinya ke peran administrator tertinggi, perilaku di balik peringatan Microsoft Defender “Application self-assigned Global Administrator role.” Tindakan tersebut mencakup penanaman secret baru yang diatur kedaluwarsa pada 2028. Huntress mengonfirmasi sign-in tidak sah untuk 162 tenant per 16 Oktober dan, sehari kemudian, hampir 1.000 tenant Entra dengan aktivitas sign-in dari IP penyerang, dengan lebih dari 300 berhasil.
Penyapuan serangan melalui tenant dalam urutan terurut, berselang beberapa detik, mengindikasikan “skrip yang bekerja dari daftar target.” Yang membedakan dari banyak serangan tradisional adalah penggunaan framework pentest open-source yang, menurut Microsoft, dapat menggunakan model AI apa pun. Aktor ancaman di berbagai wilayah menggunakan teknologi ini, dan laporan publik bulan ini mengaitkannya dengan pelanggaran di lembaga keuangan Korea Selatan.
CrowdStrike menyebut tersangka dalam serangan terpisah tersebut kemungkinan berbasis di China dan diduga menggunakan ARTEX dengan Claude Code dari Anthropic. Pengembang ARTEX, yang menggunakan handle “Autumn-27,” menyatakan di GitHub bahwa proyek ARTEX “tidak akan diperbarui lagi” dan akan menjadi closed source, sebagaimana dilaporkan Reuters.
ConnectWise mencatat akses tidak sah tersebut dan menangguhkan Cloud Backup (sebelumnya SkyKick) serta SaaS Security dan Cloud Management sebagai tindakan pencegahan. Perusahaan telah memulai pemulihan bertahap dengan perkiraan waktu beberapa hari dan sejauh ini tidak memiliki indikator bahwa data backup partner dikompromikan.
Microsoft mencatat bahwa aplikasi yang terdampak, atau bahkan sign-in yang berhasil, tidak selalu berarti data diakses atau diambil. Microsoft menyarankan pelanggan untuk menjaga koneksi aplikasi terdampak tetap nonaktif hingga instruksi pemulihan formal dikeluarkan, dan meninjau aktivitas bulan ini bila log memungkinkan.
Di sisi lain, penyalahgunaan teknologi AI oleh aktor negara turut menjadi sorotan dalam konteks persaingan teknologi yang lebih luas, termasuk upaya industri chip global mengurangi ketergantungan pada kontrol ekspor China seperti yang terlihat pada langkah TSMC cari mesin tanpa rare earth. Serangan yang memanfaatkan AI agentic ini juga menegaskan bahwa kecepatan operasi otomatis menjadi tantangan baru bagi tim keamanan di seluruh dunia.
Dengan lebih dari 2.250 tenant Microsoft 365 yang menjadi sasaran percobaan sign-in dan lebih dari 300 tenant Entra yang menunjukkan sign-in berhasil per 17 Oktober, skala serangan rantai pasok ConnectWise memperlihatkan bagaimana framework pentest berbasis AI dapat memperpendek jendela deteksi bagi defender. Microsoft menekankan pentingnya peninjauan log dan penonaktifan koneksi aplikasi terdampak hingga pemulihan formal selesai.
Komentar
Belum ada komentar.