중국 연계 해커들, 대규모 ConnectWise 공급망 공격에 AI 에이전트 배치 — 에이전트들이 2,250곳이 넘는 Microsoft 365 테넌트에 로그인 시도했으며, 일부 공격은 3시간도 안 돼 권한 있는 액세스에 도달
요약
중국 국가 연계 행위자 Storm-0940은 ConnectWise 앱 자격 증명을 이용해 2,250곳이 넘는 Microsoft 365 테넌트에 로그인을 시도했으며, 일부 공격은 최초 표적 지정 후 3시간이 지나기 전에 권한 있는 액세스에 도달했습니다. ARTEX 에이전트는 정찰과 비밀번호 스프레이, OAuth 애플리케이션 악용을 자동화했지만, ConnectWise 자격 증명 탈취 경위와 실제 데이터 접근 또는 탈취 여부는 불확실합니다. ConnectWise는 관련 서비스를 중단하고 복구를 진행했으며, Microsoft는 영향을 받은 앱 연결을 비활성화하고 활동 로그를 검토하라고 안내했습니다.
댓글 0
- 아직 댓글이 없습니다.
다른 게시글
자주 묻는 질문
이번 공격에 사용된 AI 프레임워크는 무엇인가요?
Microsoft에 따르면 오픈소스 에이전트형 AI 침투 테스트 프레임워크인 ARTEX가 사용됐습니다. ARTEX 에이전트는 스캔과 정찰, 비밀번호 스프레이, OAuth 애플리케이션 악용을 가속했습니다.
공격으로 실제 몇 개의 테넌트가 침해됐나요?
정확한 침해 테넌트 수는 불확실합니다. Huntress는 10월 16일까지 162개 테넌트에서 무단 로그인을 확인했고, 다음 날 공격 IP에서 로그인 활동이 발생한 Entra 테넌트는 거의 1,000곳이었으며 그중 300곳 이상에서 로그인이 성공했다고 밝혔습니다.
Microsoft와 ConnectWise는 어떤 조치를 권고하거나 시행했나요?
Microsoft는 공식 복구 지침이 나올 때까지 영향을 받은 앱 연결을 비활성화하고 이번 달 활동을 검토하라고 권고했습니다. ConnectWise는 무단 액세스를 확인한 뒤 Cloud Backup, SaaS Security, Cloud Management를 중단하고 단계적 복구를 시작했습니다.