Microsoft раскрыла ИИ-атаку Storm-0940 через ConnectWise Cloud Backup
Microsoft связала компрометацию приложения ConnectWise Cloud Backup с группировкой Storm-0940, которую компания относит к связанным с Китаем государственным угрозам. В кампании применялся ARTEX — агентный ИИ-фреймворк для тестирования на проникновение на Go. Атакующие использовали его для разведки, password spraying и злоупотребления OAuth-приложениями у клиентов.
По оценке Microsoft, с сентября 2026 года Storm-0940 автоматизировала атаки на сотни организаций по всему миру. Среди целей были компании из аэрокосмической, оборонной, энергетической, финансовой, производственной, полупроводниковой и технологической отраслей, а также государственные учреждения и некоммерческие организации.
Попытки входа на скорости машины
В эпизоде с ConnectWise агенты ARTEX пытались авторизоваться более чем в 2 250 тенантах. Пиковая скорость достигала 2 900 попыток входа в минуту, что заметно сокращает время, доступное защитникам для обнаружения и реагирования.
С 10 по 14 октября 2026 года инфраструктура Storm-0940 с адреса 144.172.64[.]99 провела автоматизированную password-spray-кампанию. Она была направлена на 327 учётных записей в восьми организациях для доступа к Microsoft 365 и Exchange Online. Microsoft зарегистрировала более 151 000 неудачных событий входа.
Максимум пришёлся на 11 октября: более 111 000 неудачных входов за сутки, или до 2 900 в минуту. Для 48 учётных записей число отказов превысило тысячу. В этом окне Microsoft не обнаружила успешной аутентификации, выдачи токенов, вызовов Microsoft Graph или изменений в каталоге.
Доступ через доверенные приложения
Ситуация изменилась 15 октября, когда агенты получили доступ к идентификаторам нескольких облачных приложений ConnectWise. Затем они использовали эти приложения для аутентификации в клиентских средах, опираясь на уже выданное им доверие в тенантах и не требуя интерактивного входа пользователя.
В части случаев активность вышла за пределы аутентификации. Microsoft наблюдала разведку через Microsoft Graph, изменение учётных данных приложений для закрепления, а также операции с идентификаторами, группами и привилегированными ролями. Компания предупредила, что изменённые учётные данные могут оставить постоянный доступ через другие идентификаторы, учётные данные и облачные сервисы даже после устранения исходно скомпрометированного приложения.
Что следует проверить компаниям
Storm-0940 известна Microsoft как минимум с 2021 года. В ноябре 2024 года компания сообщала, что группа использовала ботнет Quad7, также известный как CovertNetwork-1658, для скрытных password-spray-атак. В качестве начального доступа она также эксплуатировала интернет-доступные приложения, а после компрометации учётных записей перемещалась по среде.
ConnectWise временно отключала сервисы после атак и восстанавливает их поэтапно; процесс, по её оценке, займёт несколько дней. Компания подчеркнула, что кампания выходит за рамки одного поставщика: цепочки поставок привлекают атакующих тем, что одно доверенное соединение способно открыть доступ многим организациям.
Практический вывод для бизнеса — контролировать права и учётные данные OAuth-приложений, отслеживать их изменения, а также быстро разбирать аномальные межтенантные входы. При такой автоматизации проверка доверенных приложений и привилегий становится необходимой частью реагирования на инцидент.