微软将ConnectWise攻击归咎于使用AI代理的亲华组织

据微软威胁情报团队称，Storm-0940自2021年起活跃，专注于窃取数据；自2026年9月以来，该组织一直在全球范围内使用ARTEX攻击数百家机构。据The Record 10月22日报道，微软将ConnectWise公开披露的IP地址与自身调查中的地址进行比对后作出归因。在部分案例中，攻击者从最初锁定目标到获得特权云访问权限仅用了不到3小时。攻击者冒用4个事先已获准进入客户环境的ConnectWise应用身份入侵，无需任何用户登录。

ARTEX是一个多代理框架，能在极少人工干预下完成从侦察到数据外泄的整个渗透测试流程；其界面可从英语切换为韩语、普通话、西班牙语和日语4种语言。据The Record报道，该工具于2026年在GitHub上发布，开发者在10月8日写道它已遭滥用，并将项目转为闭源。该工具此前曾与针对韩国和日本金融机构的攻击相关联。微软10月21日的说明强调，不同地区的多个行为者都在使用ARTEX，单凭ARTEX痕迹并不能归因于Storm-0940。

10月10日至14日的密码喷洒攻击浪潮针对8家机构的327个账户，产生超过151,000次失败登录；10月11日单日失败次数就超过111,000次。微软在这波攻击中未发现成功的身份验证，但在多个客户环境中确认了持久化活动。在14个行业的目标清单中，包括航空航天与国防、能源、金融、公共部门和半导体。据路透社报道，中国外交部发言人毛宁10月22日表示不了解相关情况。