JP — ITmedia
中国系攻撃者がAIエージェントで攻撃を自動化、「ConnectWise」のサプライチェーン攻撃に関与 Microsoftが警告
セキュリティ2分で読めます
中国と関係するとみられる攻撃グループ「Storm-0940」が、AIエージェントで攻撃を自動化していると Microsoft が警告しました。ConnectWise のクラウドバックアップ経由の攻撃にも関与したと分析されています。
何が起きたのか
Microsoft は 10月21日に発表しました。中国と連携するとみられる攻撃者 Storm-0940 が、AIエージェントを使う侵入テスト用ツール「ARTEX」で攻撃を自動化しています。標的は世界の数百の組織です。また、10月中旬に明らかになった ConnectWise のクラウドバックアップ経由の攻撃も、Storm-0940 によるものと分析されています。
数字で見るポイント
- Storm-0940 は 2021年から活動している攻撃グループです
- ARTEX は 9月ごろから使われ始めました
- 標的にしてから管理者級の権限を得るまで、3時間かからなかった事例が複数ありました
- 攻撃者は 2250以上の組織の環境に、毎分2900回のペースでサインインを試みました
ARTEX と AI エージェントとは
ARTEX はオープンソース（誰でも使えるよう公開されたソフト）の侵入テストツールです。本来はセキュリティを調べるための道具ですが、AI モデルと組み合わせると、情報集めから情報の持ち出しまでを人がほとんど関わらずに進められます。AI エージェントは昼夜や休日も止まらず動けるため、攻撃のスピードが大きく上がります。
なぜ大切なのか
攻撃が自動化されると、少ない人手で多くの組織を短時間で狙えるようになります。攻撃の多くは失敗したものの、いくつかの組織には侵入され、長く居座るための入り口も作られました。日本でも、GMOサイバーセキュリティ byイエラエが ARTEX を使った日本企業への攻撃を確認しています。ただし、Microsoft は日本での攻撃と Storm-0940 の関係には触れていません。
気をつけたいこと
- ConnectWise Cloud Backup などを Microsoft 365 で使っている、または過去に使っていた組織は、アプリの接続を ConnectWise の復旧手順が出るまで無効のままにする
- 調査の証拠を失わないよう、アプリを削除しない
- 10月15日以降（可能なら10月1日以降）のサインイン記録や監査ログを確認する
- 身に覚えのない認証情報の追加や権限の変更がないか調べる
用語解説
- Storm-0940
- 中国と連携するとみられる攻撃グループ。2021年から活動し、データを盗むことを狙ってきた。
- ARTEX
- AI エージェントと組み合わせて使える、オープンソースの侵入テストツール。
- ConnectWise
- 米国の IT 企業。今回はクラウドバックアップサービスが攻撃に使われた。
- Microsoft 365
- Microsoft が提供する、仕事で使うクラウドのサービスをまとめたもの。
- GMOサイバーセキュリティ byイエラエ
- サイバーセキュリティの調査や対策を行う日本の会社。