Злоумышленники получили доступ к средам Microsoft 365, используя удостоверения приложений ConnectWise, которые были авторизованы организациями, без необходимости в пароле или многофакторной аутентификации пользователей. По данным Microsoft, за компрометацию ответственна группа Storm-0940, а инструмент под названием ARTEX использовался для ускорения нескольких этапов операции.
Тенант, то есть рабочее пространство организации в Microsoft 365, может управляться приложениями, которым были предоставлены разрешения. Тот, кто контролирует эти удостоверения, обладает в каждом таком тенанте правами приложения. По данным Microsoft, в нескольких случаях кампании, ведущейся с сентября, между первым целевым воздействием и получением привилегированного доступа прошло менее трех часов. Компания не уточняет, были ли эти организации клиентами ConnectWise.
Microsoft «полагает», что Storm-0940 стоит за компрометацией, не публикуя уровень уверенности. ConnectWise, со своей стороны, заявила, что не может «обсуждать атрибуцию на данном этапе», а затем 21 октября приняла к сведению выводы Microsoft на странице рекомендаций своего Trust Center. Ее страница статуса не упоминает ни Storm-0940, ни ИИ.
ARTEX, инструмент с открытым исходным кодом и заявленными случаями использования
ARTEX — это система с множеством агентов, то есть набор программ ИИ, способных действовать автономно, написанная на Go и опубликованная с открытым исходным кодом. Согласно заметке Cloud Security Alliance, она была размещена в сети 26 июля 2026 года разработчиком под псевдонимом Autumn-27. CrowdStrike связала ее в начале октября с вторжениями в южнокорейские финансовые учреждения. 8 октября разработчик якобы удалил проект с GitHub и объявил о прекращении обновлений, перейдя на закрытый код, но по состоянию на 22 октября страница проекта остается публичной.
Microsoft пишет, что Storm-0940 использовала ARTEX для ускорения разведки, подбора паролей (один и тот же распространенный пароль, проверяемый на серии учетных записей) и злоупотребления приложениями OAuth. ARTEX «может использовать любую модель ИИ» и проводит вторжение от разведки до извлечения данных «с минимальным человеческим взаимодействием», согласно той же публикации, которая не уточняет долю человеческого участия в операции или используемую модель. Кампания по подбору паролей, проведенная с 10 по 14 октября 2026 года, привела к более чем 151 000 неудачных попыток против 327 учетных записей в восьми организациях, при этом ни одной успешной аутентификации зафиксировано не было, сообщает Microsoft.
Попытки и успешные подключения
Microsoft указывает, что злоумышленник пытался подключиться к более чем 2250 тенантам, и большинство этих атак провалились. Компания не приводит количество скомпрометированных тенантов и уточняет, что успешная аутентификация «не обязательно означает» доступ к данным или их извлечение.
Компания безопасности Huntress изучила более 10 000 тенантов, оснащенных приложениями ConnectWise. По ее данным, 16 октября было подтверждено 162 тенанта с несанкционированными подключениями, а 17 октября почти 1000 тенантов были атакованы с одного IP-адреса, из которых более 300 имели успешное подключение. В примерно пятидесяти отслеживаемых тенантах приложения присваивали себе роли администратора каталога, в основном роль администратора Exchange.
ConnectWise сообщила 16 октября о «попытках» доступа к среде Cloud Backup, ранее известной как SkyKick. 17 октября разработчик признал несанкционированный доступ к удостоверениям приложений, отключил семь из них и отозвал соответствующие сертификаты. 19 октября все учетные записи и учетные данные в затронутой среде были сброшены. Поэтапное восстановление началось 21 октября и должно продлиться «несколько дней». Архивы резервных копий «зашифрованы, изолированы и сохранены, без признаков компрометации», сообщает компания, которая поручила расследование сторонней фирме, название которой не раскрывает.
Microsoft рекомендует, в частности, оставить отключенными затронутые подключения ConnectWise, сохранять журналы Microsoft Entra и проверять активность как минимум с 15 октября 2026 года. ConnectWise указывает, что уже выданные токены доступа «могут оставаться действительными» до истечения срока их действия или аннулирования.
