Компания Microsoft связала компрометацию цепочки поставок ConnectWise с хакерской группировкой Storm-0940, которую связывают с китайскими государственными структурами. С сентября злоумышленники применяют открытый фреймворк ARTEX на базе ИИ-агентов для автоматизации атак. Система способна автономно выполнять разведку, поиск уязвимостей и извлечение данных.
Хакеры использовали скомпрометированный сервис ConnectWise Cloud Backup для доступа к клиентским средам Microsoft 365. Получив контроль над учетными данными приложений, они проникали в инфраструктуру без интерактивного входа пользователя. ИИ-агенты помогали проводить разведку через Microsoft Graph, менять учетные данные и пытаться повышать привилегии до уровня глобального администратора.
Масштаб автоматизации позволил атакующим обратиться к более чем 2250 клиентским средам, совершая до 2900 попыток входа в минуту. В ходе кампании с 10 по 14 октября злоумышленники атаковали 327 учетных записей в восьми организациях, при этом Microsoft зафиксировала более 151 000 неудачных попыток входа. В ряде случаев хакерам требовалось менее трех часов для получения привилегированного доступа.
Microsoft подчеркивает, что инцидент не связан с уязвимостями в собственных продуктах компании, а вызван использованием скомпрометированного стороннего приложения. Хотя успешная авторизация не является прямым доказательством кражи данных, в некоторых средах специалисты обнаружили признаки дальнейшей активности атакующих, включая попытки закрепления в инфраструктуре.
