Storm-0940 використала агентний ШІ ARTEX у масштабній атаці через ConnectWise
Microsoft повідомила про ланцюгову кібератаку на базі ConnectWise, у якій група Storm-0940 застосувала агентний ШІ-фреймворк ARTEX. Зловмисники масово перевіряли доступ до Microsoft 365 і зловживали OAuth-застосунками.
Microsoft заявила про масштабну ланцюгову кібератаку через ConnectWise: пов’язана з Китаєм група Storm-0940 використала відкритий агентний ШІ-фреймворк ARTEX для автоматизації зламу та розвідки.
Як працювала атака
Після несанкціонованого доступу до багатокористувацького застосунку зловмисники спробували входи більш ніж до 2 250 клієнтів Microsoft 365. Для автентифікації вони застосували викрадені облікові дані застосунків ConnectWise, що дозволяло входити як застосунок — без інтерактивного входу користувача.
У частині випадків група досягала привілейованого доступу менш ніж за три години від початку націлювання. Також фіксувалися автоматизовані спроби масового вгадування паролів (password spraying): 327 облікових записів у межах восьми організацій отримали понад 151 000 невдалих спроб входу без жодного успіху.
Роль агентів ШІ
За даними Microsoft, ARTEX — це система агентів на базі LLM, що автономно виконує пентест. Вона прискорила сканування й розвідку, масове вгадування паролів і зловживання OAuth-застосунками. Агенти можуть працювати цілодобово з мінімальною участю людини, залишаючи захисникам обмаль часу на виявлення та реагування.
Невизначеність довкола викрадених даних
Наразі невідомо, яким чином були викрадені облікові дані ConnectWise і скільки саме клієнтів зрештою було компрометовано. Microsoft не оприлюднила остаточних підрахунків, проте вказує на широкий масштаб спроб доступу та швидкість ескалації привілеїв у частині векторів атаки.
Що це означає для захисту
Інцидент підкреслює, що агентні системи штучного інтелекту вже використовуються у реальних атаках для автоматизації й масштабування технік зламу. Компаніям варто переглянути політики доступу до застосунків, посилити контроль OAuth-прав, впровадити моніторинг аномальної автентифікації та обмежувати можливості міжтенантної взаємодії, особливо для інтеграцій постачальників.
