概要
Microsoftは10月21日、中国政府と関連するとみられる攻撃グループ「Storm-0940」が、クラウドバックアップサービスを提供するConnectWiseの侵害を足がかりに、2,250件を超えるMicrosoft 365テナントへの侵入を試みたと公式に公表した。10月17日時点では被害範囲は170超のテナントとされていたが、調査の進展により被害規模が一桁大きく拡大したことが明らかになった。今回の攻撃の最大の特徴は、オープンソースの侵入テストフレームワーク「ARTEX」を悪用し、偵察からデータ窃取までをほぼ人の手を介さず自動実行した点にあり、Microsoftは人間の対応能力を超える速度で攻撃が進行したと警告している。
攻撃の手口
攻撃は10月10日から14日にかけて、8つの組織の327アカウントを狙った組織的なパスワードスプレーで始まった。この間に151,000件を超えるログオン失敗が記録され、ピーク時には1分あたり2,900件の失敗を記録するという機械的な速度だった。10月15日以降は、ConnectWiseのクラウドバックアップアプリケーションから得たアプリケーション認証情報を悪用する段階に移行し、顧客が既に許可済みのOAuthアプリを通じて、対話的なログインを必要とせずに認証をすり抜けた。その後はMicrosoft Graphを通じたディレクトリの偵察、アプリケーション認証情報の追加や特権ロールの自己割り当てによる永続化、Key Vault内のシークレットの大量読み取りへと進み、一部の事例では標的化からわずか3時間未満で特権的なクラウドアクセスを獲得していた。別の事例では、4つのアプリケーション認証情報を使って4分足らずのうちに200件以上のサインインに成功したことも確認されている。
ARTEXとStorm-0940の背景
Storm-0940は2021年から活動する中国の国家支援型スパイ集団で、従来はパスワードスプレーやインターネット公開アプリケーションの脆弱性悪用といった比較的オーソドックスな手法に依存していた。しかし今回の攻撃では、Go言語とNext.jsで構築された複数のAIモデルを組み合わせたマルチエージェントLLMシステム「ARTEX」を投入し、英語・韓国語・中国語・スペイン語・日本語など多言語に対応した自律型の侵入テストを実行した。Microsoftによれば、ARTEXは早くも9月から航空宇宙、防衛、自動車、化学、エネルギー、金融サービス、政府機関、製造業、技術分野など多岐にわたる組織を標的にしていたという。
対応と今後の見通し
ConnectWiseのCEOであるManny Riveloは、被害を受けた接続を遮断し復旧を段階的に進めていると説明したが、認証情報を無効化しても、すでに侵入し居座っている攻撃者を排除できるわけではないと指摘されている。Microsoftは顧客に対し、正式な復旧指示が出るまでConnectWise関連アプリの接続を無効のままにし、証拠保全のためにエンタープライズアプリケーションを即座に削除しないよう呼びかけるとともに、10月1日以降のサービスプリンシパルのサインイン記録やEntra監査ログを遡って点検するよう推奨している。Microsoftは具体的な被害件数やデータ窃取の有無については明らかにしていないが、今回の事件はAIによる攻撃自動化が、防御側の対応速度を凌駕する新たな脅威段階に入ったことを示す事例として位置づけられており、10月上旬以降に確認されているAI駆動型侵害の広範な波の一端であるとしている。