Storm-0940 folosește credențiale ConnectWise furate și un framework AI împotriva a peste 2.250 de tenanți Microsoft 365

Un actor de amenințare asociat Chinei, urmărit de Microsoft sub numele Storm-0940, a folosit ARTEX — un framework de testare de penetrare bazat pe AI — pentru a încerca accesul în peste 2.250 de tenanți Microsoft 365, după breșa ConnectWise Cloud Backup. Nu e vorba de o vulnerabilitate nouă. Diferența o face viteza: automatizarea a permis, în mai multe cazuri, trecerea de la credențiale furate la acces privilegiat în cloud în mai puțin de trei ore.

Ce s-a întâmplat

Atacatorii nu au avut nevoie de parolele utilizatorilor. Au folosit credențiale de aplicație furate de la ConnectWise și permisiunile pe care clienții le acordaseră deja integrărilor ConnectWise (aplicațiile Cloud Backup, MS Teams și MS Graph). Autentificându-se ca aceste aplicații de încredere, nu a existat login interactiv, prompt MFA sau ceva ce un utilizator să observe.

Cifrele arată cât de automatizat a fost atacul:

• peste 2.250 de tenanți atinși prin autentificări doar la nivel de aplicație
• ~2.900 de încercări de autentificare pe minut la vârf
• peste 200 de autentificări în mai puțin de patru minute, cu doar patru credențiale de aplicație

Raportările anterioare confirmaseră autentificări neautorizate în 173 de tenanți. Diferența contează: nu toate încercările au reușit, iar o autentificare reușită nu dovedește, în sine, furt de date.

Odată intrați, atacatorii au folosit Microsoft Graph pentru a inspecta mediile și pentru a adăuga sau modifica credențiale de aplicație. O parte din activitate a vizat utilizatori, grupuri și roluri privilegiate — modificări care pot păstra accesul prin alte aplicații chiar și după dezactivarea conexiunii ConnectWise.

Separat, între 10 și 14 octombrie, infrastructura aceluiași actor a derulat o campanie de password spraying împotriva a 327 de conturi din opt organizații, cu peste 151.000 de autentificări eșuate. Microsoft nu a observat nicio autentificare reușită din această campanie.

Microsoft precizează că activitatea nu a provenit dintr-o vulnerabilitate sau compromitere a propriilor produse ori servicii.

Componenta AI

ARTEX este un framework de testare de securitate, nu o familie nouă de malware. Zscaler ThreatLabz a analizat modul în care un operator vorbitor de chineză l-a conectat la spații de lucru AI precum Claude Code și Codex: framework-ul împărțea obiectivele în sarcini, rula unelte precum nmap, sqlmap și nuclei (plus instrumente de analiză Android) și păstra o memorie comună a rezultatelor, astfel încât sesiuni AI separate să poată relua munca neterminată. Configurațiile menționau mai multe modele, inclusiv DeepSeek, GLM și Grok — însă Zscaler avertizează că numele unui model configurat nu dovedește ce model a răspuns efectiv. Operatorul le-a cerut agenților să presupună că țintele sunt autorizate și a redus pașii de aprobare.

Două rezerve importante: nu s-a stabilit că cercetarea Zscaler și investigația Microsoft privind ConnectWise descriu același actor, iar prompturile salvate despre vânzarea datelor furate sugerează o motivație financiară, fără a dovedi că vreo vânzare a avut loc.

De ce contează

Este problema lanțului de aprovizionare, în varianta cloud. O integrare de la un furnizor, aprobată o singură dată, devine o ușă permanentă, fără MFA, în tenantul tău — iar când e abuzată cu viteză de mașină, intervalul dintre primul acces și escaladarea privilegiilor scade la câteva ore. AI-ul nu inventează tehnici noi aici; elimină doar limita umană din cele vechi.

Ce e de făcut

1. Păstrați dezactivate conexiunile ConnectWise afectate până la ghidul oficial de restaurare al furnizorului.
2. Conservați mai întâi dovezile. Exportați logurile înainte de a șterge aplicații sau service principals.
3. Verificați activitatea service principals: autentificări, secrete/certificate de aplicație noi, consent grants și atribuiri de roluri de la începutul lui octombrie.
4. Nu vă opriți la ConnectWise. Auditați toate integrările autorizate anterior — credențialele adăugate de atacatori pot exista pe altă aplicație.
5. Căutați dincolo de lista de IoC-uri: interogări Graph neobișnuite, acces la mailboxuri, descărcări masive de fișiere, reguli noi de redirecționare și proprietari neașteptați de aplicații sau grupuri.
6. Restrângeți consimțământul: limitați cine poate acorda permisiuni aplicațiilor, eliminați aplicațiile nefolosite și setați alerte pentru modificări de credențiale la service principals.

Secretele și tokenurile de aplicație furate apar adesea în canalele infracționale înainte de a fi folosite la scară. Serviciul nostru de monitorizare Deep/Dark Web urmărește exact acest tip de expunere — credențiale și secrete scurse, legate de organizația dumneavoastră și de furnizorii ei — ca să le puteți roti înainte ca altcineva să automatizeze restul.

Indicatori de compromitere

Dezactivați (defanged) — reactivați-i doar în SIEM sau în platforma de threat intelligence.

Sursa: Cyber Security News. Cercetare originală: Microsoft Threat Intelligence and Zscaler ThreatLabz.