Кампанията Storm-0940 ARTEX е реална: Microsoft потвърди, че свързаната с Китай група е използвала агентния AI инструмент, за да автоматизира атаки срещу стотици организации по света. По данни на Microsoft Threat Intelligence нападателите са достигнали над 2250 клиентски тенанта със скорост около 2900 опита за вход в минута, а в някои случаи са получили привилегирован достъп до облака за по-малко от три часа. Анализът е публикуван на 21 октомври 2026 г. и свързва кампанията със засегнатата верига на доставки при ConnectWise. Microsoft подчертава, че причина не са нито пробив, нито уязвимост в собствените ѝ системи.
Накратко
- Storm-0940 е използвала отворения AI фреймуърк ARTEX за автоматизирани атаки от разузнаване до изтичане на данни.
- Групата е злоупотребила с вече одобрени OAuth приложения на ConnectWise, затова достъпът е изглеждал легитимен.
- Ако ползвате Microsoft 365 чрез доставчик на управлявани услуги, проверете одобрените приложения и журналите от 15 октомври нататък.
Как Storm-0940 ARTEX автоматизира атаките
Storm-0940 е активна от 2021 г. и според Microsoft краде данни от организации в много сектори – от авиацията и отбраната до финансите, правителствата, полупроводниците и аналитичните центрове. Досега методите ѝ включваха „password spraying“ (масово пробване на пароли), експлоатация на уязвими приложения, достъпни от интернет, и придвижване през компрометирани акаунти. В облачни среди групата добавя собствени идентификационни данни към съществуващи OAuth приложения, за да запази достъп до ресурсите в Microsoft 365, и чете имейли и файлове през Microsoft Graph.
Новото е автоматизацията. ARTEX е отворен фреймуърк за тестове за проникване, написан на Go с интерфейс на Next.js, който работи с произволен AI модел. Няколко агента изпълняват самостоятелно целия цикъл – от разузнаване до изнасяне на данни – и записват откритите активи и уязвимости в графа. Според Microsoft публични съобщения от октомври 2026 г. вече са свързвали същия инструмент с пробиви във финансови институции в Южна Корея, за които писахме в материала за AI хакерските атаки срещу банки.
Хронология: от паролите до ConnectWise
Microsoft описва няколко ключови дати. Между 10 и 14 октомври инфраструктура с адрес 144.172.64.99 е провела автоматизирана кампания за пробиване на пароли срещу 327 акаунта в осем организации, насочена към Microsoft 365 и Exchange Online. Телеметрията отчита над 151 000 неуспешни опита, като пикът е на 11 октомври – около 2900 грешки в минута. Почти 98% от активността е завършила със заключване на акаунтите и Microsoft не е наблюдавала успешна автентикация, издаване на токен или промяна в директорията в тази конкретна кампания.
На 15 октомври излизат първите публични съобщения за компрометиране на облачния бекъп на ConnectWise, а индикаторите съвпадат с мрежата 144.172.64.x. На 16 октомври ConnectWise признава неоторизиран достъп до клиентски тенанти през няколко OAuth идентичности, като в известието на доставчика има адрес, който съвпада точно с 144.172.64.99. Microsoft оценява, че именно Storm-0940 стои зад компрометирането на това мултитенантно приложение, като ARTEX е помогнал на групата да достигне над 2250 тенанта. В един от подмножествата на активността са отчетени над 200 вписвания за по-малко от четири минути чрез четири идентификационни данни на приложения.
Защо достъпът е изглеждал легитимен
След като са овладели няколко приложения на ConnectWise, агентите са използвали откраднатите им данни, за да влизат в клиентските среди. Тъй като тези приложения вече имат доверие в тенанта, активността не прилича на класическа атака с потребителска парола. В част от средите нападателите са стигнали по-далеч – до разузнаване през Microsoft Graph, промени в идентификационните данни на приложения за устойчив достъп, както и до промени на идентичности, групи и привилегировани роли.
Важно уточнение: според Microsoft самото наличие на засегнато приложение не означава, че е осъществен достъп до данни или че те са изнесени. Компанията казва още, че по-голямата част от опитите не са успели, но групата е постигнала привилегирована облачна устойчивост в немалко организации. Именно скоростта е основният извод на анализа – агентите работят непрекъснато, пробват няколко пътя едновременно и оставят на защитниците много малко време за координиран отговор, докато генерират огромен обем журнали и сигнали.
Какво препоръчва Microsoft на засегнатите
Препоръките са конкретни. Връзките на ConnectWise, които са засегнати, трябва да останат изключени, докато доставчикът не публикува официални инструкции за възстановяване. Корпоративните приложения не бива да се изтриват като първа реакция, защото така се губят доказателства – първо се запазват конфигурацията и журналите. След това се търсят четирите засегнати идентификатора на приложения (не по показвано име) и се записва обектният идентификатор на всеки локален service principal.
Прегледът на журналите за вход и одит трябва да започне поне от 15 октомври, а където е възможно – от 1 октомври. Успешните и неуспешните вписвания на service principal-и се разглеждат поотделно и не се ограничават само до публикуваните IP адреси. Администраторите трябва да търсят нови идентификационни данни, собственици, назначения на роли, съгласия и промени в привилегированите роли и политиките за условен достъп в Entra. След като доказателствата са запазени, потвърдено неоторизираните данни се премахват, а тайните се сменят. Microsoft препоръчва и принцип на най-малките привилегии за мултитенантните приложения.
Какво означава това за потребителите и фирмите в България
Малките и средните фирми у нас често разчитат на външни доставчици на ИТ услуги, които управляват Microsoft 365, бекъп и отдалечен достъп. Точно този модел е засегнат тук: едно компрометирано приложение на доставчик може да отвори вратата към много клиенти. Затова питайте вашия доставчик дали използва ConnectWise, дали е засегнат и какви стъпки е предприел, и поискайте от администратора да провери списъка с приложения, на които е дадено съгласие в тенанта.
Обикновените потребители не трябва да правят нищо специално във връзка с този конкретен случай, но общият урок е ясен: защитата на самите акаунти вече не е достатъчна. Включете многофакторна автентикация, не давайте широки права на приложения и следете за необичайни съобщения за вход. За по-широкия контекст около AI агентите и управлението на риска прочетете и материала ни за Microsoft Agent 365, както и за AI агентите, които хакват сайтове. Още теми в рубриката ще намерите в AI рискове.
Често задавани въпроси
Пробив ли е в системите на Microsoft? Не. Компанията изрично заявява, че активността не е резултат от компрометиране или уязвимост в нейни системи, продукти или услуги; засегнато е мултитенантно приложение на ConnectWise.
Какво е ARTEX? Отворен фреймуърк с много AI агенти за тестове за проникване, предназначен за легитимна проверка на сигурността, но според Microsoft вече се използва и от различни нападатели в няколко региона.
Данните ми откраднати ли са? Не е сигурно. Наличието на засегнато приложение в тенанта не доказва достъп до данни – необходим е преглед на журналите.
