Китайская группировка Storm-0940 использует ИИ-фреймворк ARTEX для атак на сотни организаций

Китайская группировка Storm-0940 автоматизировала атаки с помощью ИИ-фреймворка ARTEX

Китайская группировка Storm-0940 с сентября 2026 года применяет фреймворк для тестирования на проникновение ARTEX. Он использует искусственный интеллект для автоматизации атак. Злоумышленники нацелились на сотни организаций по всему миру. Атаки Storm-0940 с использованием ARTEX привели к получению привилегированного доступа к облачной инфраструктуре компаний. В некоторых случаях захват контроля занял менее трех часов. Microsoft предполагает, что Storm-0940 стоит за компрометацией ConnectWise. Использование ARTEX позволило ускорить злоупотребление скомпрометированными приложениями для аутентификации в Microsoft 365. Это позволило действовать без интерактивного входа пользователя. В скомпрометированных средах наблюдалась ускоренная активность через Microsoft Graph. Она включала разведку, изменение учетных данных приложений и попытки модификации привилегий.

ARTEX автоматизирует тестирование на проникновение и разведку

ARTEX представляет собой фреймворк для тестирования на проникновение с открытым исходным кодом. Он использует любую модель ИИ для автоматизации различных рабочих процессов в области безопасности. Фреймворк написан на GO с фронтендом на Next.js. ARTEX состоит из LLM-агентов, которые проводят автономное тестирование на проникновение. Процесс включает разведку и эксфильтрацию данных с минимальным участием человека. Агенты накапливают обнаруженные активы и уязвимости в графе. В октябре 2026 года появилась информация об использовании ARTEX злоумышленниками для взлома корейских финансовых учреждений. Microsoft Threat Intelligence выявила применение ARTEX злоумышленниками из разных регионов. ConnectWise опубликовала консультативное уведомление 16 октября 2026 года. В нем детализировалось расследование попыток несанкционированного доступа, связанного с Cloud Backup. Storm-0940 использовала ARTEX для попыток входа в более чем 2250 ареалов. Скорость составляла 2900 попыток входа в минуту. Это оставляет защитникам мало времени на обнаружение и реагирование.

Атаки затрагивают сотни организаций в различных отраслях

Storm-0940 — китайская группировка, активная с 2021 года. Она нацелена на кражу данных. Исторически группировка получала первоначальный доступ с помощью подбора паролей и эксплуатации интернет-приложений. В облачных средах злоумышленники устанавливали персистентность, добавляя учетные данные в существующие OAuth-приложения. Это позволяло им получать доступ к ресурсам Microsoft 365. Группировка использовала эти приложения для доступа и эксфильтрации электронной почты и других данных через Microsoft Graph. В ходе компрометации цепочки поставок ConnectWise Storm-0940 использовала ARTEX для ускорения сканирования, разведки, подбора паролей и злоупотребления OAuth-приложениями у конечных пользователей. Атаки Storm-0940 с использованием ARTEX привели к получению привилегированного доступа к облачной инфраструктуре. В некоторых случаях время от первоначального нацеливания до получения привилегированного доступа составило менее трех часов. Автоматизация с помощью ИИ генерирует большой объем трафика и журналов, что может вызывать оповещения. Однако скорость активности не оставляет защитникам времени на реагирование. Storm-0940 добилась привилегированной облачной персистентности во многих организациях за короткое время. Целевыми отраслями являются аэрокосмическая и оборонная промышленность, автомобилестроение, химическая промышленность, энергетика, финансовые услуги, государственное управление, юридические услуги, производство, СМИ, военная промышленность, полупроводники, программное обеспечение, технологии, аналитические центры и некоммерческие организации.

Отключите приложения ConnectWise и сохраните журналы для расследования

Microsoft рекомендует отключить затронутые приложения ConnectWise до получения инструкций по восстановлению от ConnectWise. Не удаляйте корпоративные приложения сразу, сохраните конфигурацию и доказательства. Инвентаризируйте все четыре идентификатора приложений, перечисленные в профиле, и запишите локальный Object ID сервис-принципала в каждом ареале. Проверьте все ареалы Microsoft 365, где затронутые приложения установлены или были установлены ранее. Ищите по идентификатору приложения, а не по отображаемому имени. Сохраните доступные журналы входа и аудита Microsoft Entra, журналы аудита Microsoft Purview, данные SIEM и настроенную телеметрию Microsoft Graph. Не задерживайте сдерживание в ожидании экспорта. Просмотрите активность, начиная как минимум с 15 октября 2026 года. При наличии записей расширьте проверку входа сервис-принципала до 1 октября и расследуйте предыдущую связанную активность. Проверяйте успешные и неудачные входы сервис-принципалов отдельно. Расследуйте незнакомые источники и активность вне ожидаемой инфраструктуры поставщика. Просмотрите журналы аудита Microsoft Entra на предмет добавления учетных данных приложений или сервис-принципалов, новых приложений, сервис-принципалов или владельцев, назначений ролей приложений и предоставления согласий, назначений привилегированных ролей и изменений пользователей, групп, методов аутентификации или условного доступа. При подтверждении подозрительной активности отзовите ненужные разрешения и смените учетные данные. Просмотрите журналы аудита Microsoft 365 на предмет разведывательной деятельности, такой как перечисление каталогов, разрешений и утверждений из необычных IP-адресов. Ищите необычный доступ к почте или файлам, загрузки, пересылку, правила почты или транспорта, делегированные разрешения почтовых ящиков и связанную активность ресурсов. Сохраните доказательства, затем уполномоченный ответчик должен удалить подтвержденные несанкционированные учетные данные, гранты, владельцев, назначения и удостоверения.