Microsoft зафиксировала AI-атаку Storm-0940 на более чем 2250 тенантов Microsoft 365

21 октября 2026 года Microsoft Threat Intelligence опубликовала отчет о компрометации ConnectWise Cloud Backup, проведенной китайской группой Storm-0940. Атака затронула более 2250 тенантов Microsoft 365. Злоумышленники применили агентный фреймворк ARTEX для автоматизации разведки и попыток доступа.

Ход атаки и технические детали

Storm-0940 с сентября 2026 года использовала открытый фреймворк ARTEX на базе Go и LLM-агентов. Инструмент автоматизировал поиск уязвимостей, password spraying и злоупотребление OAuth-приложениями. С 10 по 14 октября 2026 года с IP-адреса 144.172.64.99 группа провела кампанию password spraying, сгенерировав более 151 тысяч неудачных попыток входа против 327 учетных записей в восьми организациях. Пик активности достиг 2900 попыток в минуту 11 октября.

После компрометации идентификационных данных приложений ConnectWise Storm-0940/ARTEX выполнила более 2900 попыток входа в минуту в 2250 тенантов. В нескольких случаях злоумышленники получили привилегированный доступ и закрепились менее чем за три часа. Они изменили учетные данные приложений, роли и группы через Microsoft Graph. Основная цель — кража данных. Успешных проникновений в большинство целей не зафиксировано.

Microsoft подчеркнула, что инцидент не связан с уязвимостями в ее системах или сервисах. Успешная аутентификация не означает автоматического доступа к данным или их утечки.

Реакция ConnectWise и рекомендации

ConnectWise 16 октября 2026 года опубликовала уведомление о несанкционированном доступе к идентификаторам приложений Cloud Backup. Компания отключила затронутые подключения, приостановила сервисы SaaS Security и Cloud Management, сбросила учетные данные и начала поэтапное восстановление 21–22 октября. Восстановление займет несколько дней. Данные резервных копий не пострадали.

Microsoft рекомендует клиентам проверить журналы входов сервисных принципалов и Microsoft Graph с начала октября, а также применить обновленные правила обнаружения в Defender. ConnectWise завершает восстановление услуг и информирует клиентов о необходимых действиях.