Microsoft связала атаку на ConnectWise с ИИ-агентом ARTEX

Подробно

Что произошло с приложениями ConnectWise?

ConnectWise обнаружила проблему 14 октября 2026 года, начала внутреннее и внешнее расследование и 16 октября в 17:47 UTC впервые опубликовала уведомление об инциденте. Речь о попытках несанкционированного доступа, связанных с Cloud Backup (прежнее название - SkyKick). Первоначально компания не называла группу и не связывала инцидент с ARTEX.

По оценке Microsoft, после получения контроля над идентификаторами нескольких облачных приложений ConnectWise атакующие использовали уже выданное им доверие для аутентификации в Microsoft 365 без интерактивного входа пользователя. Microsoft подчёркивает, что причиной не стала компрометация или уязвимость её собственных систем, продуктов или сервисов.

Подтверждена компрометация учётных данных приложений ConnectWise и доступ к части клиентских тенантов Microsoft 365; доступ к зашифрованным архивам резервных копий ConnectWise не подтверждён.

Что такое ARTEX и как он ускорил атаки?

Microsoft описывает ARTEX как открытую мультиагентную систему для пентестинга на основе больших языковых моделей. Она написана на Go, имеет интерфейс на Next.js, работает с разными ИИ-моделями и может автоматизировать путь от разведки до эксфильтрации данных при небольшом участии человека.

По данным Microsoft, с сентября 2026 года Storm-0940 применяла ARTEX против сотен организаций по всему миру: для разведки, сканирования, password spraying и злоупотребления OAuth-приложениями. После компрометации ConnectWise группа попыталась войти более чем в 2 250 тенантов Microsoft 365. Скорость достигала 2 900 попыток входа в минуту, а более 200 входов через четыре набора учётных данных приложений выполнили менее чем за четыре минуты. Большинство попыток, по Microsoft, не удалось.

Несколько атак Storm-0940 с помощью ARTEX привели к тому, что злоумышленник получил привилегированный доступ к облачной инфраструктуре организации - в том числе в нескольких случаях время от первоначального выбора цели до привилегированного доступа составило менее 3 часов.

Это относится к нескольким атакам кампании в целом. Microsoft не утверждает, что инфраструктуру ConnectWise взломали менее чем за три часа.

Что независимо подтвердили Huntress и Sophos?

Huntress по журналам Microsoft Entra установила, что 15 октября с 06:13 до 08:34 UTC с адреса 144.172.64[.]128 учётные данные приложения ConnectWise Cloud Backup использовались для получения токенов Microsoft Graph. Тенанты перебирались по порядку GUID с интервалом в несколько секунд, что указывало на скрипт. К 17 октября Huntress выявила почти 1 000 тенантов с попытками входа с этого адреса, более чем в 300 случаях вход был успешным.

В одном из изученных тенантов приложение ConnectWise Cloud Management - MS Teams 15 октября с 03:44 до 03:49 UTC назначило себе роль Global Administrator и добавило новые client secrets в два других доверенных приложения. Шесть из девяти изменений удались.

Аутентификация сама по себе несомненна: она отражена в журналах входа самой Microsoft в каждом тенанте.

Sophos X-Ops зафиксировала сканирование около 96 минут (с 07:11 до 08:47 UTC 15 октября): с того же адреса запрашивался токен Microsoft Graph для каждого тенанта в порядке возрастания GUID, в том числе без действующей подписки Cloud Backup. Sophos с высокой уверенностью оценила перебор как скриптовый, но не установила, как были получены учётные данные и что атакующий сделал с токенами.

Ни Huntress, ни Sophos не публиковали собственной атрибуции Storm-0940. Атрибуция - оценка Microsoft, которую принимает ConnectWise.

Кто такая Storm-0940 и на чём основана атрибуция?

Microsoft характеризует Storm-0940 как связанную с китайским государством группу, активную как минимум с 2021 года и ориентированную на кражу данных.

Microsoft оценивает, что за недавно раскрытой компрометацией цепочки поставок многоарендного приложения ConnectWise стояла Storm-0940.

Связь с ConnectWise Microsoft обосновывает совпадением сетевого диапазона 144.172.64.x. С 10 по 14 октября инфраструктура Storm-0940 по адресу 144.172.64[.]99 провела password spraying по 327 учётным записям восьми организаций, зафиксировано более 151 000 неудачных входов. Позднее ConnectWise назвала тот же адрес среди связанных с инцидентом. В той волне Microsoft не выявила успешных входов, выдачи токенов, вызовов Graph и изменений каталога.

ConnectWise в своём обновлении заявила, что, судя по имеющимся данным, включая разведданные Microsoft, за атакой на Cloud Backup, по-видимому, стояла группа, связанная с китайским государством. Независимого подтверждения атрибуции вне телеметрии Microsoft не найдено.

Что сделала ConnectWise и какие сервисы затронуты?

17 октября в 07:00 UTC ConnectWise отключила семь идентификаторов приложений, включая Cloud Backup и приложения Cloud Management для Teams, Exchange Online, Microsoft Graph, Partner Center и SharePoint Online, и отозвала сертификаты затронутых подключений Cloud Backup.

Отключение блокирует новую аутентификацию через эти приложения, но не отменяет учётные данные, разрешения и роли, уже созданные в клиентских тенантах, а также другие возможные способы закрепления. На 22 октября компания поэтапно восстанавливала Cloud Backup, SaaS Security и Cloud Management с проверкой безопасности на каждом этапе. Процесс, по её оценке, займёт несколько дней, а соединения до официальных инструкций включать не следует.

ConnectWise заявляет, что существующие архивы резервных копий остаются зашифрованными, изолированными и сохранёнными, признаков их компрометации нет. Это не касается возможной активности в рабочих тенантах клиентов. Затронуты пользователи и MSP-партнёры, у которых сейчас или ранее были установлены или авторизованы Cloud Backup/SkyKick либо связанные приложения Cloud Management. Данных о пострадавших организациях в России ни один из источников не публиковал.

Государственные хакеры всё чаще атакуют цепочку поставок ПО, потому что одно доверенное подключение может открыть дверь многим организациям.

Это заявление гендиректора ConnectWise Мэнни Ривело.

Что пока неизвестно об инциденте?

Не установлено, как атакующие получили исходные учётные данные приложений и была ли причиной уязвимость продукта. Microsoft не раскрыла точное число организаций, где группа добилась привилегированного или устойчивого доступа: в публикации использована формулировка «многие организации». Попытки входа в более чем 2 250 тенантов не означают компрометацию всех из них.

Microsoft предупреждает, что наличие затронутого приложения и даже успешная аутентификация не обязательно означают несанкционированный доступ к данным или их эксфильтрацию. Huntress не смогла исключить чтение данных, поскольку Microsoft Graph журналирует не все операции чтения. Microsoft наблюдала в нескольких клиентских средах последующие операции через Graph: разведку, изменение учётных данных приложений, операции с идентификаторами и группами, попытки изменить привилегированные роли.

Отдельно ARTEX уже фигурировал в других кампаниях. 7 октября CrowdStrike сообщила о его применении против финансовых организаций Южной Кореи: атаки привели к эксфильтрации данных, но не были атрибутированы Storm-0940, оператор, по оценке со средней уверенностью, был финансово мотивирован. 20 октября GMO Cybersecurity by Ierae обнаружила ARTEX на шести атакующих серверах, нацеленных на японские финансовые и логистические компании. Связь этих случаев со Storm-0940 и ConnectWise не установлена. CrowdStrike оценила, что агентные инструменты позволяют проводить несколько вторжений за короткий срок и, вероятно, будут использоваться всё чаще.