Microsoft связала атаку на ConnectWise с прокитайской группой, применяющей ИИ-агентов

По данным группы Microsoft по анализу угроз, Storm-0940 действует с 2021 года и специализируется на краже данных. С сентября 2026 года она применяет ARTEX против сотен организаций по всему миру. Как сообщил The Record 22 октября, Microsoft провела атрибуцию, сопоставив IP-адреса, опубликованные ConnectWise, с адресами из собственных расследований. В ряде случаев путь от первичного нацеливания до привилегированного доступа к облаку занял менее 3 часов. Злоумышленник проникал в среды клиентов под видом 4 заранее одобренных приложений ConnectWise, не нуждаясь в пользовательской сессии.

ARTEX — многоагентный фреймворк, который ведёт тест на проникновение от сбора сведений о цели до вывода данных при минимальном участии человека. Его интерфейс переключается с английского на 4 языка: корейский, китайский (путунхуа), испанский и японский. По данным The Record, инструмент опубликовали на GitHub в 2026 году. 8 октября разработчик сообщил о злоупотреблениях и закрыл исходный код. Ранее инструмент связывали с атаками на финансовые организации Южной Кореи и Японии. В заметке Microsoft от 21 октября подчёркивается, что ARTEX используют несколько субъектов в разных регионах, поэтому один лишь след ARTEX не означает атрибуцию к Storm-0940.

Волна распыления паролей 10–14 октября затронула 327 учётных записей в 8 организациях и дала более 151 000 неудачных входов. Только 11 октября было зафиксировано свыше 111 000 ошибок. Успешной аутентификации в этой волне Microsoft не обнаружила, но подтвердила действия по закреплению в средах нескольких клиентов. В список целей из 14 отраслей входят авиация и оборона, энергетика, финансы, госсектор и полупроводники. Как передаёт Reuters, официальный представитель МИД Китая Мао Нин 22 октября заявила, что ей ничего не известно об этих инцидентах.