Microsoft: atacul ConnectWise, atribuit actorului Storm-0940, care a folosit agenți AI ARTEX la „viteză de mașină”. Ce înseamnă pentru apărarea ta

• CrowdStrike a publicat o analiză separată despre o campanie ARTEX atribuită unui actor chinez pe care îl urmărește ca Vapor Panda (anterior VexatiousTemper), cu activitate din 17 octombrie. Potrivit The Hacker News, vizează peste 200 de organizații, între care ministere de externe din America Latină, Europa, Asia și Orientul Mijlociu și organizații americane din semiconductori, apărare și think tank-uri. CyberScoop adaugă că ținte au fost cabinetul unui președinte și al unui prim-ministru dintr-o țară europeană și furnizori de telecomunicații din SUA, Belgia și Filipine, în cel puțin 14 țări.
• Cifrele diferă între publicații: CyberScoop vorbește despre circa 70% dintre ținte confirmate compromise sau cu dovezi de intruziune cu încredere moderată (aproximativ 140 de organizații în 11 zile), în timp ce The Hacker News relatează post-exploatare confirmată la nouă organizații și password spraying sau scanare de credențiale la cel puțin alte 12. Nu am putut reconcilia cele două relatări; tratează cifrele ca ale CrowdStrike, prin presă.
• CyberScoop spune explicit că aceasta este o campanie separată de activitatea Storm-0940 din analiza Microsoft; nu se afirmă că este același actor. CrowdStrike observă, potrivit CyberScoop, o creștere a atacurilor agentice: circa 45 în septembrie și 126 în octombrie. Aceasta susține concluzia articolului, că apărarea trebuie să țină pasul cu automatizarea.

• Atribuirea: Microsoft „evaluează” că Storm-0940 este responsabil. Denumirea „Storm” înseamnă că actorul este încă urmărit și nu a primit un nume definitiv. Actorul este activ din 2021, urmărește furtul de date și a folosit în trecut password spraying, exploatarea aplicațiilor expuse, conturi compromise și adăugarea de credențiale la aplicații OAuth existente pentru persistență.
• ARTEX: un cadru open-source de testare de penetrare, scris în Go, care poate folosi orice model AI și coordonează mai mulți agenți, de la recunoaștere la exfiltrare, cu puțină intervenție umană. Microsoft spune că a văzut mai mulți actori din mai multe regiuni folosindu-l, iar cea mai veche activitate cu ARTEX cunoscută datează de la începutul lui septembrie 2026.
• Precursorul: între 10 și 14 octombrie, o campanie de password spraying a vizat 327 de conturi din opt organizații, fără autentificări reușite, potrivit Microsoft. Vârful a fost pe 11 octombrie, cu circa 2.900 de eșecuri pe minut și peste 111.000 într-o zi; aproape 98% din activitate au fost blocări de cont. O adresă IP din avizul ConnectWise din 16 octombrie se potrivea exact cu infrastructura campaniei.
• Compromiterea: după ce a obținut controlul asupra mai multor identități de aplicație ConnectWise, actorul s-a autentificat în tenanții clienților folosind încrederea pe care aceste aplicații o aveau deja, fără autentificare interactivă. Microsoft nu spune cum au fost obținute secretele aplicației.
• Amploarea: încercări de autentificare în peste 2.250 de tenanți, peste 200 de autentificări în mai puțin de patru minute folosind patru credențiale de aplicație. Majoritatea țintirilor au eșuat, dar actorul a obținut persistență privilegiată în cloud la multe organizații, din sectoare precum apărare, energie, servicii financiare, guvern, juridic, producție, tehnologie și think tank-uri. Țările nu sunt listate.
• După compromitere: recunoaștere prin Microsoft Graph, schimbarea credențialelor aplicațiilor pentru persistență, tentative de modificare a privilegiilor, inclusiv autoatribuirea rolului Global Administrator de către o aplicație ConnectWise, și citiri în masă de secrete din Azure Key Vault. Microsoft nu confirmă exfiltrarea de e-mail în această campanie.
• Microsoft spune că activitatea nu a rezultat dintr-o compromitere sau o vulnerabilitate a sistemelor sau produselor sale.

• The Record notează că atribuirea Microsoft se bazează pe potrivirea adreselor IP raportate public de ConnectWise cu cele din propria investigație și că articolul nu prezintă alte dovezi.
• Un purtător de cuvânt al Ministerului de Externe chinez a negat cunoașterea incidentelor, potrivit Reuters, citat de The Record.
• ARTEX a fost publicat pe GitHub la începutul anului; dezvoltatorul, identificat de presă, a spus că instrumentul a fost creat pentru cercetare și teste autorizate și că, după abuzuri, proiectul a devenit closed source. Nu îl numim; nu există indicii că ar fi implicat în atac.
• ARTEX a fost legat de atacuri asupra unor instituții financiare din Coreea de Sud și Japonia, potrivit The Record; Microsoft spune că această legătură se bazează pe relatări publice, nu pe propriile constatări.

• Atribuirea către Storm-0940 este o evaluare Microsoft; Beijingul neagă.
• Cum au fost obținute secretele aplicațiilor ConnectWise: nici Microsoft, nici ConnectWise nu au spus.
• Dacă prezența aplicației sau o autentificare reușită au dus la acces la date: Microsoft avertizează explicit că nu neapărat.
• Rata de succes și cifrele de timp sunt ale Microsoft și nu au fost verificate independent.

Cifrele contează mai mult decât numele. 2.900 de încercări pe minut, peste 200 de autentificări în patru minute, acces privilegiat în cloud uneori în mai puțin de trei ore, potrivit The Record, care citează Microsoft. Un proces de apărare care se bazează pe cineva care citește alertele dimineața nu mai ține pasul.

Al doilea punct: ținta nu a fost o parolă de utilizator, ci încrederea dintre aplicații. O aplicație cu permisiuni largi într-un tenant este o cheie pe care nimeni nu o poartă în buzunar și pe care autentificarea multifactor a utilizatorilor nu o protejează.

• Ține dezactivate conexiunile ConnectWise afectate până la instrucțiunile formale de restaurare ale ConnectWise.
• Nu șterge primele aplicațiile de întreprindere; păstrează mai întâi configurația și dovezile.
• Caută aplicațiile afectate după ID, nu după numele afișat, în toți tenanții în care au fost vreodată instalate sau autorizate.
• Păstrează jurnalele Entra de autentificare și audit, înregistrările Purview și datele din SIEM; revizuiește activitatea cel puțin de la 15 octombrie și, unde se poate, de la 1 octombrie.
• Revizuiește separat autentificările reușite și eșuate ale conturilor de serviciu și nu te limita la adresele IP publicate.
• Caută credențiale adăugate, proprietari sau conturi de serviciu noi, schimbări de roluri, consimțăminte, utilizatori, grupuri sau Conditional Access, plus activitate de e-mail, fișiere și redirecționări.
• Revocă permisiunile inutile și rotește credențialele unde ai activitate suspectă confirmată; elimină elementele neautorizate abia după ce ai păstrat dovezile, apoi verifică faptul că rotirea a eliminat accesul rezidual.
• Aplică privilegiul minim la permisiunile aplicațiilor multi-tenant și monitorizează activitatea aplicațiilor cu privilegii mari, inclusiv citirile de secrete din Key Vault.

• Detecția și răspunsul trebuie să fie automate acolo unde atacul este automat: blocări, revocări și izolări care se declanșează fără să aștepte un om, cu reguli aprobate dinainte.
• Inventarul aplicațiilor terțe cu permisiuni în tenantul tău este acum un subiect de conducere, nu doar unul de IT. Cine aprobă o aplicație nouă și cine o revizuiește anual?
• Furnizorii care țin chei către mediul tău (backup, management, securitate) trebuie să-ți poată spune cum își protejează secretele și cum te anunță.

NIS2 cere gestionarea riscurilor din lanțul de aprovizionare și măsuri de control al accesului. Dacă găsești o compromitere, entitățile esențiale și importante au avertizarea timpurie în 24 de ore și raportul inițial în 72 de ore pentru incidente semnificative; pentru date personale, GDPR cere notificare în 72 de ore dacă riscul o impune. Aplicabilitatea depinde de situația ta; verifică cu juristul sau cu responsabilul cu protecția datelor.

Analiza Microsoft este sursa primară pentru ce a văzut compania și pentru recomandări, dar atribuirea rămâne evaluarea ei. The Record, The Hacker News și Dark Reading o relatează; reacția Beijingului vine prin Reuters. Pentru faptele de bază ale incidentului ConnectWise, vezi analiza noastră din 20 octombrie, actualizată.

Awarely Monitor poate ajuta la evidența aplicațiilor și expunerilor din tenant, iar Awarely Learning la exercițiile pentru conducere despre atacuri automatizate și accesul furnizorilor. Articolul nu este consultanță juridică și nu garantează conformitatea.