Storm-0940 ใช้ประโยชน์จาก Agentic AI เพื่อทำให้อัตโนมัติในการโจมตี Microsoft 365

การเพิ่มขึ้นของ Agentic AI ในการโจมตีทางไซเบอร์

Microsoft Threat Intelligence ได้ระบุถึงการเปลี่ยนแปลงครั้งสำคัญในกลยุทธ์ที่กลุ่มผู้ไม่หวังดีซึ่งมีความเชื่อมโยงกับจีนที่รู้จักกันในชื่อ Storm-0940 ใช้ โดยกลุ่มดังกล่าวประสบความสำเร็จในการเจาะระบบแอปพลิเคชันสำรองข้อมูลบนคลาวด์ของ ConnectWise และใช้เป็นจุดยุทธศาสตร์เพื่อเปิดฉากการโจมตีในวงกว้าง แทนที่จะพึ่งพากระบวนการแบบแมนนวลเพียงอย่างเดียว กลุ่มนี้ได้ใช้เฟรมเวิร์ก Agentic AI แบบโอเพนซอร์สที่เรียกว่า ARTEX เพื่อทำให้อัตโนมัติในการใช้ประโยชน์จากข้อมูลประจำตัวที่ถูกขโมยมาใน Microsoft 365 tenants กว่า 2,250 แห่ง

การพัฒนานี้เน้นย้ำถึงแนวโน้มที่น่ากังวล นั่นคือการรวมเอา autonomous agents เข้ามาเป็นส่วนหนึ่งของชุดเครื่องมืออาชญากรไซเบอร์ โดยการใช้ AI เพื่อนำทางในสภาพแวดล้อมคลาวด์ที่ซับซ้อนและทำให้อัตโนมัติในการยกระดับสิทธิ์ ผู้โจมตีสามารถบรรลุเป้าหมายได้อย่างรวดเร็วอย่างที่ไม่เคยปรากฏมาก่อน Microsoft รายงานว่าในบางกรณี กลุ่มนี้สามารถเข้าถึงสภาพแวดล้อมคลาวด์ด้วยสิทธิ์ระดับสูงได้ภายในเวลาไม่ถึงสามชั่วโมงหลังจากเริ่มการโจมตีครั้งแรก

ข้อแนะนำในการรักษาความปลอดภัย Cloud Tenants

การป้องกันการโจมตีที่ขับเคลื่อนด้วยระบบอัตโนมัติของ AI จำเป็นต้องเปลี่ยนไปสู่มาตรการรักษาความปลอดภัยข้อมูลประจำตัวที่แข็งแกร่งและเชิงรุกมากขึ้น:

• เสริมสร้าง Identity Governance: บังคับใช้ Multi-Factor Authentication (MFA) ให้ครอบคลุมทุกส่วน และให้ความสำคัญกับ Phishing-Resistant MFA เช่น FIDO2 security keys เพื่อลดผลกระทบจากการถูกขโมยข้อมูลประจำตัว
• ใช้สถาปัตยกรรม Zero Trust: เลิกพึ่งพาการรักษาความปลอดภัยแบบรอบขอบเครือข่าย ให้ใช้แนวทางนโยบายการเข้าถึงแบบมีเงื่อนไข (conditional access policies) ที่เข้มงวด ซึ่งจะประเมินโปรไฟล์ความเสี่ยงของทุกคำขอเข้าถึง ไม่ว่าคำขอนั้นจะดูเหมือนมาจากผู้ใช้ที่รู้จักหรือไม่ก็ตาม
• การตรวจสอบอย่างต่อเนื่อง: ใช้เครื่องมือ Cloud Access Security Brokers (CASB) และ extended detection and response (XDR) เพื่อระบุรูปแบบที่ผิดปกติในพฤติกรรมของผู้ใช้ โดยเฉพาะอย่างยิ่งพฤติกรรมที่บ่งบอกถึงการโต้ตอบกับ cloud APIs ด้วยความเร็วสูงและเป็นไปโดยอัตโนมัติ
• การบริหารจัดการความเสี่ยงจากบุคคลที่สาม: ประเมินความมั่นคงปลอดภัยของแอปพลิเคชันสำรองข้อมูลหรือแอปพลิเคชันบริหารจัดการของบุคคลที่สามที่รวมอยู่ในคลาวด์ของคุณอย่างเข้มงวด เนื่องจากแอปพลิเคชันเหล่านี้กำลังกลายเป็นเป้าหมายที่มีมูลค่าสูงสำหรับผู้โจมตีมากขึ้นเรื่อยๆ