A Microsoft szerdán hozta nyilvánosságra, hogy a Storm-0940 néven azonosított, Kínához köthető szereplő áll a ConnectWise Cloud Backup alkalmazást érintő ellátásilánc-támadás mögött.

A támadás során a Storm-0940 az ARTEX-et használta, egy Go-alapú, ügynökalapú AI penetration testing frameworköt, amelyet azután zárttá tettek, hogy dél-koreai pénzintézetek ellen is bevetették. Az ARTEX segítségével felgyorsították a szkennelést és a felderítést, a jelszószórásos támadásokat, valamint az OAuth alkalmazásokkal való visszaélést a további célpontok ellen.

A technológiai óriás szerint a fenyegető szereplő „gépi sebességgel” vetette be az AI-eszközt, hogy automatizálja a támadásokat, amelyek 2026 szeptembere óta világszerte több száz szervezetet értek, számos iparágban. A célpontok között volt a repülőgépipar és védelem, az autóipar, a vegyipar, az energiaipar, a pénzügyi szolgáltatók, kormányzati szervek, jogi cégek, gyártóvállalatok, média, hadsereg, félvezetőipar, szoftver- és technológiai cégek, think tankek és nonprofit szervezetek.

„A Storm-0940 ARTEX-használata felgyorsította a feltört alkalmazásokkal való visszaélést, így a már engedélyezett alkalmazásokon keresztül tudtak hitelesíteni a célkörnyezetekben. Így a fenyegető szereplőnek nem volt szüksége interaktív felhasználói bejelentkezésre” – közölte a Microsoft.

„Az AI-val felgyorsított további tevékenységek közé tartozott a felderítés, az alkalmazás-hitelesítési adatok módosítása, valamint a jogosultságok megváltoztatására tett kísérletek, amelyek kiterjesztett vagy tartós hozzáférést tehetnek lehetővé.”

A Storm-0940-ről a Microsoft először 2024 novemberében közölt részleteket, akkor derült ki, hogy a szereplő a Quad7 (más néven CovertNetwork-1658) nevű botnetet használja rendkívül nehezen észlelhető jelszószórásos támadásokhoz. A csoport legalább 2021 óta aktív.

A támadó emellett internet felől elérhető alkalmazások sebezhetőségeit is kihasználja a kezdeti hozzáférés megszerzéséhez, majd a feltört fiókokkal mozog a célkörnyezetekben. Megfigyelték azt is, hogy tartós jelenlétet épít ki azzal, hogy hitelesítési adatokat ad hozzá meglévő OAuth alkalmazásokhoz a felhőinfrastruktúrában, így biztosítva a hozzáférést a Microsoft 365 erőforrásokhoz.

A Microsoft szerint az ARTEX által támogatott támadások egy részében a támadó kiemelt jogosultságot szerzett a szervezetek felhőinfrastruktúrájában. Több esetben a kezdeti célba vételtől a kiemelt hozzáférésig kevesebb mint 3 óra telt el.

A ConnectWise-incidensnél a Storm-0940 ARTEX-szel próbált bejelentkezni több mint 2250 tenantba, percenként 2900 bejelentkezési kísérlettel. A vállalat szerint ez olyan tempó, amely nagyon kevés időt hagy a védelmi oldalon a támadás észlelésére és elhárítására.

A Microsoft közlése szerint 2026. október 10. és 14. között a Storm-0940-hez tartozó, 144.172.64[.]99 IP-címen működő infrastruktúra automatizált, több tenantot érintő jelszószórásos támadást indított. Nyolc szervezet összesen 327 fiókját próbálták így feltörni, hogy hozzáférést szerezzenek a Microsoft 365 és az Exchange Online szolgáltatásokhoz.

Ebben az időszakban a Microsoft több mint 151 000 sikertelen bejelentkezési eseményt rögzített. A támadási aktivitás október 11-én tetőzött, percenként 2900 sikertelen próbálkozással, ami egyetlen nap alatt több mint 111 000 hibás bejelentkezést eredményezett. A 327 fiók közül 48-nál több mint 1000 sikertelen kísérletet észleltek. A vállalat szerint nem találtak nyomát sikeres hitelesítésnek, tokenkiadásnak, Graph-hívásnak vagy címtár-módosításnak.

Október 15-én azonban fordult a helyzet: az AI ügynökök hozzáférést szereztek több ConnectWise felhős alkalmazás identitásához, és ezeket kezdték el felhasználni az ügyfélkörnyezetekbe történő bejelentkezéshez.

A technológiai óriás szerint miután az AI ügynökök átvették az irányítást több ConnectWise felhős alkalmazás identitása felett, továbbra is ugyanabból az IP-tartományból próbáltak bejelentkezni az ügyfelek környezeteibe. A megszerzett, ellopott alkalmazáshitelesítési adatokkal éltek vissza, és kihasználták azt, hogy ezek az alkalmazások a tenanton belül már korábban bizalmi kapcsolatot élveztek.

Néhány esetben az AI ügynökök nem álltak meg a Microsoft Graph felé történő hitelesítésnél és az alapvető címtárműveleteknél. Felderítést végeztek, módosították az alkalmazások hitelesítési adatait a tartós jelenlét kiépítése érdekében, és változtatásokat hajtottak végre identitásokon, csoportokon és kiemelt jogosultságú szerepkörökön.

A Microsoft szerint a Storm-0940-hoz köthető ügynökök által végrehajtott alkalmazáshitelesítési adat-módosítások tartós jelenlétet biztosíthatnak más identitásokon, hitelesítési adatokon és felhőszolgáltatásokon keresztül is. Ezek a változtatások akkor is aktív hátsó kapuként maradhatnak meg, ha a kompromittálódott eredeti alkalmazást már sikerült helyreállítani.

A Storm-0940 messze nem az egyetlen csoport, amely ARTEX-re támaszkodik. A Microsoft megfigyelései szerint több földrajzi régióból származó támadók is beépítették a frameworköt a műveleteikbe.

A mostani eredmények ismét rámutatnak, hogy a fenyegető szereplők egyre gyakrabban illesztik be az ügynökalapú AI eszközöket a támadó oldali biztonsági folyamataikba, hogy gyorsan, nagy léptékben hajtsanak végre támadásokat.

A Microsoft szerint az ügynököket nem korlátozzák az emberi tényezők: éjjel-nappal, hétvégén és ünnepnapokon is dolgoznak, párhuzamosan több betörési útvonalat próbálnak ki. Így jelentősen lerövidül az idő a célpont kiválasztásától a támadási célok eléréséig, és nő az olyan összetett támadások sebessége és hatása, mint az ellátásilánc-kompromittálások.

A történtekre reagálva a ConnectWise úgy nyilatkozott, hogy az észlelt tevékenység „egy olyan kampányt ír le, amely messze túlmutat bármely egyetlen cégen”, majd hozzátette: „az állami hátterű szereplők egyre gyakrabban veszik célba a szoftverellátási láncot, mert egyetlen megbízható kapcsolat is sok szervezethez nyithat utat”.

„Az AI ma már lehetővé teszi számukra, hogy ezeket a kapcsolatokat […] ‘gépi sebességgel’ teszteljék. Az MSP-k ennek a láncnak a közepén állnak. Ők önmagukban is célpontok, és egyben utat jelentenek minden egyes ügyfelükhöz. Minden gyártónak és minden MSP-nek úgy kell védekeznie, hogy mindkét kockázattal számol.”

A ConnectWise az incidensek után ideiglenesen leállította szolgáltatásait, majd szakaszosan kezdte visszaállítani azokat. A cég szerint ez a folyamat több napig tart.