← Все новости

Безопасность ·

Microsoft: атаку на ConnectWise провела китайская Storm-0940 с помощью AI-агента ARTEXMicrosoft: China-aligned Storm-0940 hit ConnectWise using the ARTEX AI agent framework

Microsoft связала компрометацию ConnectWise Cloud Backup с группировкой Storm-0940, которая автоматизировала атаки агентным фреймворком для пентеста ARTEX. Попытки входа затронули более 2250 тенантов Microsoft 365, а путь от первой цели до привилегированного доступа порой занимал меньше трёх часов.Microsoft tied the ConnectWise Cloud Backup compromise to Storm-0940, which automated its attacks with the ARTEX agentic pentesting framework. Sign-in attempts hit more than 2,250 Microsoft 365 tenants, and the path from first targeting to privileged access sometimes took under three hours.

21 октября Microsoft опубликовала разбор недавней атаки на цепочку поставок через ConnectWise Cloud Backup — сервис резервного копирования данных Microsoft 365 и Google Workspace. Компания приписывает её Storm-0940 — группировке, связанной с китайским государством и активной как минимум с 2021 года.

Как шла атака

  • 10–14 октября — password spraying против 327 учётных записей в восьми организациях: более 151 тыс. неудачных входов, из них свыше 111 тыс. — 11 октября. Успешных входов на этом этапе не было.
  • 15 октября — атакующие получили контроль над идентичностями нескольких облачных приложений ConnectWise и через уже выданные им разрешения вошли в клиентские тенанты, местами дойдя до операций в Microsoft Graph и каталоге.
  • Всего попытки входа затронули более 2250 тенантов с пиковой скоростью около 2900 попыток в минуту. В ряде случаев от первой цели до привилегированного доступа проходило меньше трёх часов; закреплялись через изменение учётных данных приложений.

ARTEX

Атаки автоматизировал ARTEX — агентный фреймворк для пентеста на Go, выложенный на GitHub в начале года и позже закрытый автором после злоупотреблений против южнокорейских банков. Microsoft видит его в арсенале группировок из разных регионов.

ConnectWise отключила Cloud Backup и ряд других сервисов и восстанавливает их поэтапно.

Что проверить

Если в тенанте было установлено приложение ConnectWise, ищите неавторизованные изменения учётных данных приложений: такой бэкдор переживает отзыв доступа исходному приложению.

On October 21, Microsoft published its analysis of the recent supply-chain attack via ConnectWise Cloud Backup, a backup service for Microsoft 365 and Google Workspace data. It attributes the attack to Storm-0940, a China state-aligned group active since at least 2021.

How the attack unfolded

  • October 10–14 — password spraying against 327 accounts at eight organizations: more than 151,000 failed sign-ins, over 111,000 of them on October 11. No successful authentication in this phase.
  • October 15 — the attackers took control of the identities of several ConnectWise cloud applications and used their existing consents to sign in to customer tenants, in some cases reaching Microsoft Graph and directory operations.
  • Overall, sign-in attempts touched more than 2,250 tenants, peaking at about 2,900 attempts per minute. In several cases it took under three hours from first targeting to privileged access; persistence came from modifying application credentials.

ARTEX

The attacks were automated with ARTEX, a Go-based agentic pentesting framework published on GitHub earlier this year and later made closed-source by its author after abuse against South Korean banks. Microsoft sees it used by threat actors across several regions.

ConnectWise shut down Cloud Backup and several other services and is restoring them in phases.

What to check

If a ConnectWise app was installed in your tenant, look for unauthorized changes to application credentials: such a backdoor survives revoking the original app’s access.

Источники