माइक्रोसॉफ्ट की चेतावनी: AI की मदद से साइबर हमले का अभियान, 2,250 से ज़्यादा क्लाउड टेनेंट निशाने पर
माइक्रोसॉफ्ट ने चेतावनी दी है कि चीन से जुड़े बताए जाने वाले हैकिंग समूह Storm-0940 ने दुनियाभर के संगठनों पर साइबर हमलों को तेज़ करने के लिए आर्टिफिशियल इंटेलिजेंस से चलने वाले पेनेट्रेशन-टेस्टिंग फ्रेमवर्क का इस्तेमाल किया। माइक्रोसॉफ्ट के सुरक्षा शोधकर्ताओं के अनुसार, इस अभियान ने कई उद्योगों के सैकड़ों संगठनों को निशाना बनाया और 2,250 से ज़्यादा क्लाउड टेनेंट में घुसने की कोशिश की।
इस अभियान में आईटी सेवा प्रदाता ConnectWise शामिल रहा, जिससे सॉफ्टवेयर सप्लाई-चेन की सुरक्षा को लेकर चिंता बढ़ी। माइक्रोसॉफ्ट ने कहा कि हमलावरों ने ARTEX नाम के ओपन-सोर्स फ्रेमवर्क का इस्तेमाल रेकॉन (टोह लेने), पासवर्ड-स्प्रेइंग की कोशिशों और एप्लिकेशन क्रेडेंशियल के दुरुपयोग को स्वचालित करने में किया। हालांकि ज़्यादातर कोशिशें नाकाम रहीं, जांचकर्ताओं को कई ग्राहक परिवेशों में विशेषाधिकार प्राप्त पहुंच और उसके बाद की गतिविधि के सबूत मिले।
Storm-0940 क्या है?
Storm-0940 एक साइबर खतरा समूह है, जिसे माइक्रोसॉफ्ट कम से कम 2021 से ट्रैक कर रहा है। यह समूह ऐतिहासिक रूप से डेटा चोरी के लिए संगठनों को निशाना बनाता रहा है, और पासवर्ड स्प्रेइंग, इंटरनेट से जुड़े एप्लिकेशन में सेंध लगाने और समझौता किए गए क्रेडेंशियल के दुरुपयोग जैसी तकनीकें इस्तेमाल करता है।
पासवर्ड स्प्रेइंग में बहुत से खातों पर कुछ आम या पहले हासिल किए गए पासवर्ड आज़माए जाते हैं। हमलावर इस तरीके से पहुंच हासिल करने की कोशिश करते हैं, ताकि किसी एक खाते पर बार-बार नाकाम लॉगिन पकड़ने वाले सुरक्षा नियंत्रणों से बचे रहें।
शुरुआती पहुंच बनाने के बाद हमलावर किसी संगठन के नेटवर्क में आगे बढ़ने, संवेदनशील जानकारी तक पहुंचने या समझौता किए गए परिवेश में लौटने का रास्ता बनाने की कोशिश कर सकते हैं। क्लाउड प्रणालियों में इसमें एप्लिकेशन पहचान का दुरुपयोग और क्रेडेंशियल या अनुमतियों में बदलाव शामिल हो सकते हैं।
माइक्रोसॉफ्ट का आकलन है कि Storm-0940 ने अपने अभियानों की रफ्तार और पैमाना बढ़ाने के लिए इन स्थापित तकनीकों के साथ AI-संचालित स्वचालन का इस्तेमाल किया।
आर्टिफिशियल इंटेलिजेंस ने हमलावरों की कैसे मदद की?
इस अभियान में ARTEX का इस्तेमाल हुआ, जो एक ओपन-सोर्स पेनेट्रेशन-टेस्टिंग फ्रेमवर्क है और अलग-अलग AI मॉडल के साथ काम कर सकता है। पेनेट्रेशन टेस्टिंग आम तौर पर एक वैध सुरक्षा प्रथा है, जिसमें अधिकृत विशेषज्ञ प्रणालियों की कमज़ोरियां जांचते हैं। लेकिन सुरक्षा परीक्षण के लिए बने औज़ार अनधिकृत लोगों के हाथ में आने पर उनका दुरुपयोग हो सकता है।
ARTEX पेनेट्रेशन-टेस्टिंग के कामकाज के कई चरणों के काम स्वचालित करने के लिए कई AI-संचालित एजेंट इस्तेमाल करता है। इन कामों में लक्ष्य पहचानना, प्रणालियों को स्कैन करना, रेकॉन करना और जानकारी तक पहुंचने की कोशिश करना शामिल हो सकते हैं।
माइक्रोसॉफ्ट ने बताया कि Storm-0940 ने क्लाउड परिवेशों के खिलाफ अपनी गतिविधियां तेज़ करने के लिए ARTEX का इस्तेमाल किया। स्वचालित प्रणाली कई काम एक साथ कर सकती थी और लगातार चल सकती थी, जिससे लक्ष्य चुनने और पहुंच बनाने की कोशिश के बीच का समय घट गया।
कुछ मामलों में माइक्रोसॉफ्ट ने देखा कि समूह शुरुआती निशाना बनाने के तीन घंटे से भी कम समय में विशेषाधिकार प्राप्त क्लाउड पहुंच तक पहुंच गया। इस रफ्तार से सुरक्षा टीमों के लिए अलर्ट की जांच करना, घुसपैठ का दायरा तय करना और आगे की गतिविधि से पहले अनधिकृत पहुंच हटाना ज़्यादा मुश्किल हो सकता है।
यह घटना दिखाती है कि जोखिम बढ़ाने के लिए AI को पूरी तरह नए किस्म का साइबर हमला रचने की ज़रूरत नहीं है। स्थापित तकनीकों को स्वचालित करने से मौजूदा खतरे तेज़, ज़्यादा बड़े पैमाने के और संभालने में कठिन हो सकते हैं।
ConnectWise को निशाना क्यों बनाया गया?
ConnectWise कारोबारों को टेक्नोलॉजी और आईटी प्रबंधन सेवाएं देती है। अनधिकृत पहुंच की पहचान होने के बाद उसका Cloud Backup परिवेश इस घटना का केंद्रीय हिस्सा बन गया।
माइक्रोसॉफ्ट का आकलन है कि ConnectWise सप्लाई-चेन समझौते के लिए Storm-0940 ज़िम्मेदार था। सप्लाई-चेन हमले में हमलावर किसी भरोसेमंद सेवा प्रदाता, एप्लिकेशन या आपूर्तिकर्ता को निशाना बनाता है, ताकि उन पर निर्भर अन्य संगठनों तक पहुंच सके।
यह तरीका खास तौर पर खतरनाक हो सकता है जब किसी तीसरे पक्ष के एप्लिकेशन को ग्राहकों के क्लाउड खातों तक पहुंचने की अनुमति हो। अगर हमलावर एप्लिकेशन के क्रेडेंशियल से समझौता कर लें, तो वे मौजूदा भरोसे के रिश्ते का इस्तेमाल करके, उपयोगकर्ता के पारंपरिक इंटरैक्टिव साइन-इन के बिना ही जुड़े परिवेशों तक पहुंच सकते हैं।
माइक्रोसॉफ्ट के अनुसार, समझौते के बाद हमलावरों ने ARTEX का इस्तेमाल करके करीब 2,900 साइन-इन प्रयास प्रति मिनट की दर से 2,250 से ज़्यादा टेनेंट में साइन-इन की कोशिश की।
माइक्रोसॉफ्ट ने यह भी बताया कि 10 से 14 अक्टूबर के बीच व्यापक पासवर्ड-स्प्रेइंग अभियान ने आठ संगठनों के 327 खातों पर 151,000 से ज़्यादा नाकाम साइन-इन घटनाएं पैदा कीं। कोशिशों की भारी संख्या ने दिखाया कि स्वचालन सुरक्षा निगरानी और घटना-प्रतिक्रिया टीमों पर कैसे दबाव डाल सकता है।
हमलावर कौन सी जानकारी तक पहुंच सकते थे?
माइक्रोसॉफ्ट ने कई ग्राहक परिवेशों में संदिग्ध गतिविधि देखी, जिनमें रेकॉन, एप्लिकेशन क्रेडेंशियल में बदलाव और अनुमतियां बदलने की कोशिशें शामिल थीं। ऐसी कार्रवाइयां हमलावरों को पहुंच बनाए रखने या क्लाउड संसाधनों पर अपना नियंत्रण बढ़ाने में मदद कर सकती हैं।
हालांकि कंपनी ने आगाह किया कि किसी प्रभावित एप्लिकेशन की मौजूदगी या सफल प्रमाणीकरण अपने आप साबित नहीं करता कि ग्राहक डेटा तक पहुंच हुई या चोरी हुआ। हर संगठन को अपने रिकॉर्ड की जांच करके तय करना होगा कि अनधिकृत गतिविधि हुई या नहीं।
माइक्रोसॉफ्ट ने प्रभावित ग्राहकों को सलाह दी कि वे एप्लिकेशन साइन-इन रिकॉर्ड, ऑडिट लॉग और क्रेडेंशियल, उपयोगकर्ता खातों, समूहों और विशेषाधिकार प्राप्त भूमिकाओं से जुड़े बदलावों की जांच करें। संगठनों को ईमेल, फाइलों और अन्य क्लाउड संसाधनों तक असामान्य पहुंच की भी जांच करनी चाहिए।
ConnectWise ने कहा कि उसने प्रभावित एप्लिकेशन कनेक्शन को नियंत्रित कर लिया है और सेवाएं नियंत्रित चरणों में बहाल कर रही है। कंपनी ने ग्राहकों को अपने औपचारिक बहाली निर्देशों का पालन करने और अनधिकृत पहुंच के संकेतों के लिए अपने अलग-अलग परिवेशों की समीक्षा करने की सलाह दी।
किन उद्योगों को निशाना बनाया गया?
माइक्रोसॉफ्ट के अनुसार, अभियान ने कई क्षेत्रों को प्रभावित किया। इनमें एयरोस्पेस, रक्षा, ऑटोमोटिव, रसायन, ऊर्जा, वित्तीय सेवाएं, सरकार, कानूनी सेवाएं, विनिर्माण, मीडिया, सेना, सेमीकंडक्टर, सॉफ्टवेयर, टेक्नोलॉजी, थिंक टैंक और गैर-लाभकारी संगठन शामिल थे।
लक्ष्यों की विविधता बताती है कि संगठनों को यह मानकर नहीं चलना चाहिए कि किसी खास उद्योग में काम करने भर से वे आधुनिक साइबर खतरों के दायरे से बाहर हैं। अलग-अलग आकार की कंपनियां एक ही क्लाउड प्लेटफॉर्म, सॉफ्टवेयर आपूर्तिकर्ताओं और पहचान प्रणालियों पर निर्भर हो सकती हैं।
यह घटना तीसरे पक्ष के एप्लिकेशनों को दी गई पहुंच के आधार पर उनका आकलन करने के महत्व को भी पुख्ता करती है। ज़रूरत से ज़्यादा अनुमतियों वाला भरोसेमंद एप्लिकेशन, उसके क्रेडेंशियल से समझौता होने पर, अन्य प्रणालियों में घुसने का रास्ता बन सकता है।
संगठन खुद को कैसे बचा सकते हैं?
माइक्रोसॉफ्ट ने सिफारिश की कि प्रभावित ConnectWise इंटीग्रेशन इस्तेमाल करने वाले संगठन औपचारिक बहाली निर्देश मिलने तक संबंधित कनेक्शन बंद रखें। सुरक्षा टीमों को ऐसे बदलाव करने से पहले लॉग और अन्य सबूत सुरक्षित रखने चाहिए जो जांच में बाधा डाल सकते हैं।
संगठनों को एप्लिकेशन अनुमतियों की समीक्षा करनी चाहिए, अनधिकृत क्रेडेंशियल हटाने चाहिए और समझौते की पुष्टि या आशंका होने पर सीक्रेट बदलने चाहिए। उन्हें असामान्य साइन-इन गतिविधि, प्रशासनिक भूमिकाओं में अप्रत्याशित बदलाव और संदिग्ध एप्लिकेशन पहुंच पर भी नज़र रखनी चाहिए।
न्यूनतम विशेषाधिकार का सिद्धांत खास तौर पर अहम है। एप्लिकेशनों और उपयोगकर्ताओं को सिर्फ उतनी ही अनुमतियां मिलनी चाहिए जितनी उनके काम के लिए ज़रूरी हैं। मल्टीफैक्टर ऑथेंटिकेशन, मज़बूत पहचान नियंत्रण, समय पर सॉफ्टवेयर अपडेट और लगातार निगरानी अनधिकृत पहुंच का जोखिम और घटा सकती हैं।
कारोबारों को ऐसी घटना-प्रतिक्रिया योजना भी रखनी चाहिए जिसमें तीसरे पक्ष के आपूर्तिकर्ता और क्लाउड सेवाएं शामिल हों। नियमित सुरक्षा समीक्षाएं हमलावरों के फायदा उठाने से पहले ज़रूरत से ज़्यादा अनुमतियों और पुराने इंटीग्रेशन की पहचान करने में मदद कर सकती हैं।
निष्कर्ष
Storm-0940 का अभियान साइबर अभियानों में AI की बढ़ती भूमिका और भरोसेमंद सॉफ्टवेयर प्रदाताओं से जुड़े जोखिमों को रेखांकित करता है। रेकॉन और क्रेडेंशियल-आधारित हमलों को स्वचालित करके खतरा पैदा करने वाले तत्व कम समय में बड़ी संख्या में क्लाउड परिवेशों तक पहुंचने की कोशिश कर सकते हैं।
माइक्रोसॉफ्ट ने कहा कि ज़्यादातर निशाना बनाने की कोशिशें नाकाम रहीं, लेकिन कई परिवेशों में दर्ज हुई पहुंच बताती है कि संगठनों को संदिग्ध गतिविधि पर तेज़ी से कार्रवाई क्यों करनी चाहिए। एप्लिकेशन अनुमतियों की समीक्षा, क्रेडेंशियल की सुरक्षा और क्लाउड ऑडिट रिकॉर्ड की जांच सप्लाई-चेन हमलों का असर सीमित करने के ज़रूरी कदम हैं।
यह घटना याद दिलाती है कि साइबर सुरक्षा सिर्फ अलग-अलग खातों की रक्षा पर नहीं, बल्कि उनसे जुड़े एप्लिकेशनों और सेवा प्रदाताओं को सुरक्षित करने पर भी निर्भर है।
