Чтобы добраться до тысяч корпоративных систем, хакерам не нужно ломать каждую по отдельности. Они могут украсть доступ у компании, которой уже доверяют эти системы, и тогда запустить ИИ-агентов.
Так поступила группировка Storm-0940 в октябре 2026 года, о чём рассказала Microsoft. Они использовали инструмент ARTEX для атаки на облачные среды клиентов IT-провайдера ConnectWise. Злоумышленники попытались войти в более 2250 клиентских сред Microsoft 365. В нескольких компаниях им удалось проникнуть глубже, изменить учётные данные и закрепиться внутри инфраструктуры.
Microsoft связывает Storm-0940 с Китаем.
Тысячи попыток в минуту
ARTEX — это инструмент для проверки компьютерной безопасности, в котором работают ИИ-агенты. Они могут исследовать сеть, искать уязвимости и выполнять действия с минимальным участием человека. Обычно такие инструменты используют для проверки собственной защиты, но Storm-0940 нашла им другое применение.
С 10 по 14 октября группировка массово перебирала пароли к Microsoft 365 и Exchange Online. За четыре дня система безопасности Microsoft зарегистрировала более 151 тысячи неудачных попыток входа в 327 учётных записей восьми организаций.
На пике атаки хакеры делали 2900 попыток в минуту, что оставило много записей в журналах безопасности, но ни разу не позволило им войти в чужие аккаунты. Однако через ConnectWise результат оказался намного серьёзнее.
Один взлом — доступ ко всем клиентам
ConnectWise предоставляет облачные сервисы, включая резервное копирование Microsoft 365. Для работы таких сервисов клиенты разрешают специальным приложениям обращаться к своим данным. Система узнаёт доверенное приложение по его учётным данным и пропускает без пароля.
Хакеры украли учётные данные нескольких приложений ConnectWise Cloud Backup, что стало похоже на набор служебных ключей от чужих офисов. Затем они подключили ARTEX, и ИИ-агенты автоматически начали попытки входа в клиентские среды, исследовали инфраструктуру и выполняли действия через Microsoft Graph — инструмент для управления облачными сервисами Microsoft.
Исследователи обнаружили, что в нескольких клиентских организациях злоумышленники уже успели провести разведку внутри облака, изменить учётные данные приложений и попытаться расширить свои права.
Microsoft подтвердила действия злоумышленников, но не раскрыла общее число успешно взломанных организаций.
В других атаках с использованием ARTEX группировке удавалось получить привилегированный доступ к системам менее чем за три часа.
Новые ключи после проникновения
После проникновения злоумышленники могут добавить новые учётные данные и изменить разрешения приложений, чтобы вернуться в систему.
Администратор отключает взломанное подключение ConnectWise, но оставленные хакерами доступы продолжают работать.
Поэтому Microsoft рекомендует проверять историю входов, изменения прав, новые учётные данные приложений и подозрительные операции в Microsoft 365. Только блокировка исходного подключения может не решить проблему полностью.
ConnectWise подтвердила компрометацию учётных данных Cloud Backup и начала восстанавливать сервис. Компания сообщила, что архивы резервных копий зашифрованы и признаков их взлома нет. Клиентские облачные среды требуют отдельной проверки.
О массовой краже клиентской информации Microsoft пока не сообщала.
Сам ARTEX уже упоминался в сообщениях об атаках на финансовые организации Южной Кореи. Теперь Microsoft показала, как этот инструмент использовали против поставщика облачных услуг и его клиентов.
ИИ-агенты действовали по заданию хакеров, ускоряя перебор вариантов, разведку и использование украденных прав.
Для пострадавших организаций главный вопрос сейчас: сколько чужих ключей осталось в их системах после обнаружения первоначального взлома?