تمكن مهاجمون من الوصول إلى بيئات Microsoft 365 بالاعتماد على هويات تطبيقات ConnectWise التي سمحت بها المؤسسات، دون الحاجة إلى كلمة مرور المستخدم أو المصادقة متعددة العوامل. وفقًا لشركة Microsoft، فإن مجموعة Storm-0940 هي المسؤولة عن الاختراق، ويُرجح أن أداة تُدعى ARTEX استُخدمت لتسريع عدة خطوات في العملية.
يمكن إدارة المستأجر، أي مساحة العمل الخاصة بمؤسسة في Microsoft 365، بواسطة تطبيقات منحها أذونات. وبالتالي، فإن من يتحكم في هذه الهويات يمتلك، داخل كل من هذه المستأجرين، صلاحيات التطبيق. في عدة حالات من الحملة التي بدأت منذ سبتمبر، مرت أقل من ثلاث ساعات بين الاستهداف الأول والحصول على وصول مميز، وفقًا لشركة Microsoft، التي لم توضح ما إذا كانت هذه المؤسسات عملاء لدى ConnectWise.
تعتقد شركة Microsoft أن Storm-0940 هي مصدر الاختراق، دون نشر مستوى ثقة محدد. من جانبها، أشارت ConnectWise إلى أنها لا تستطيع «مناقشة نسب الهجوم في هذه المرحلة»، قبل أن تُقر بنتائج Microsoft في صفحة الإشعارات في مركز الثقة الخاص بها في 21 أكتوبر. صفحة الحالة الخاصة بها لا تذكر لا Storm-0940 ولا الذكاء الاصطناعي.
ARTEX، أداة مفتوحة المصدر ذات استخدامات مبلغ عنها
ARTEX هو نظام متعدد الوكلاء، أي مجموعة من برامج الذكاء الاصطناعي القادرة على العمل بشكل مستقل، مكتوب بلغة Go ومنشور كمصدر مفتوح. وفقًا لمذكرة من Cloud Security Alliance، تم رفعه على الإنترنت في 26 يوليو 2026 بواسطة مطور يُوقع باسم Autumn-27. ربطته CrowdStrike في أوائل أكتوبر بتسللات إلى مؤسسات مالية كورية جنوبية. في 8 أكتوبر، يُقال إن المطور سحب المشروع من GitHub وأعلن إيقاف التحديثات، مع تحوله إلى كود مغلق، لكن صفحة المشروع تبقى عامة حتى 22 أكتوبر.
تكتب Microsoft أن Storm-0940 استخدمت ARTEX لتسريع عمليات الاستطلاع، ورش كلمات المرور (تجربة نفس كلمة المرور الشائعة على سلسلة من الحسابات)، وإساءة استخدام تطبيقات OAuth. يمكن لـ ARTEX «استخدام أي نموذج للذكاء الاصطناعي» ويقود عملية اختراق من الاستطلاع إلى استخراج البيانات «مع تفاعل بشري قليل»، وفقًا لنفس المنشور، الذي لم يحدد الجزء البشري من العملية ولا النموذج المستخدم. أنتجت حملة الرش التي جرت من 10 إلى 14 أكتوبر 2026 أكثر من 151,000 فشل ضد 327 حسابًا لثماني مؤسسات، دون ملاحظة أي مصادقة ناجحة، وفقًا لـ Microsoft.
محاولات واتصالات ناجحة
تشير Microsoft إلى أن المهاجم حاول الاتصال بأكثر من 2,250 مستأجرًا، وأن غالبية هذا الاستهداف فشلت. لا تقدم الشركة أي عدد للمستأجرين الذين تم اختراقهم وتوضح أن المصادقة الناجحة «لا تشير بالضرورة» إلى الوصول إلى البيانات أو استخراجها.
فحصت Huntress، وهي شركة أمنية، أكثر من 10,000 مستأجر مجهز بتطبيقات ConnectWise. أحصت 162 مستأجرًا به اتصالات غير مصرح بها مؤكدة في 16 أكتوبر، ثم ما يقرب من 1,000 مستهدف من عنوان IP واحد في 17 أكتوبر، بما في ذلك أكثر من 300 مستأجر بحصول اتصال ناجح. في حوالي خمسين مستأجر تمت مراقبتهم، قامت التطبيقات بمنح نفسها أدوار إدارة الدليل، خاصة دور مسؤول Exchange.
أبلغت ConnectWise في 16 أكتوبر عن «محاولات» للوصول إلى بيئة Cloud Backup، وهي SkyKick سابقًا. في 17 أكتوبر، اعترفت الشركة المصنعة بوصول غير مصرح به إلى هويات التطبيقات، وعطلت سبعة منها وألغت الشهادات ذات الصلة. في 19 أكتوبر، تمت إعادة تعيين جميع الحسابات والمعلومات التعريفية في البيئة المتأثرة. بدأ الاستعادة التدريجية في 21 أكتوبر ومن المتوقع أن تستمر «عدة أيام». أرشيفات النسخ الاحتياطي «مشفرة ومعزولة ومحفوظة، دون أي مؤشر على اختراق»، وفقًا للشركة، التي كلفت التحقيق لشركة خارجية لم تسمها.
توصي Microsoft بشكل خاص بإبقاء اتصالات ConnectWise المتأثرة معطلة، والاحتفاظ بسجلات Microsoft Entra، وفحص النشاط منذ 15 أكتوبر 2026 على الأقل. تشير ConnectWise إلى أن رموز الوصول الصادرة بالفعل «قد تبقى قابلة للاستخدام» حتى انتهاء صلاحيتها أو إبطالها.
