Microsoft Threat Intelligence опубликовала результаты расследования деятельности Storm-0940 21 октября. ConnectWise сообщила о взломе в уведомлении о безопасности 16 октября — в тот же день, когда компания по кибербезопасности Huntress опубликовала первоначальную информацию об атаке.
ConnectWise Cloud Backup, ранее известный как SkyKick, позволяет поставщикам ИТ-услуг создавать резервные копии данных клиентов в Microsoft 365. Сервис использует приложения с широким доступом к учётным записям клиентов, поэтому идентификаторы этих приложений могут стать путём проникновения в подключённые системы.
По данным Microsoft, Storm-0940 скомпрометировала несколько таких идентификаторов и использовала их для доступа к учётным записям клиентов. В некоторых случаях злоумышленники добавляли новые ключи аутентификации и меняли роли администраторов, чтобы сохранить доступ.
Группа действует с 2021 года и, по данным Microsoft, атаковала организации в различных отраслях, в том числе в сфере обороны, государственного управления, права, энергетики и производства полупроводников.
В этой кампании злоумышленники использовали ARTEX — бесплатный инструмент для взлома с открытым исходным кодом, основанный на ИИ-агентах, которые могут работать с различными моделями ИИ.
Такие инструменты могут использовать и команды безопасности для проверки собственных систем. Microsoft сообщила, что агенты сканировали сети, пытались подбирать пароли и эксплуатировали разрешения приложений при минимальном участии человека. Какая именно модель ИИ использовалась в атаке, компания не уточнила.
«Агенты не ограничены факторами, которые влияют на людей», — написали исследователи Microsoft.
Storm-0940 пыталась войти более чем в 2 250 клиентских сред Microsoft 365, совершая до 2 900 попыток в минуту. Microsoft сообщила, что в некоторых случаях группа получала широкие привилегии в облаке менее чем за три часа, хотя большинство попыток завершились неудачей.
К 16 октября Huntress, отслеживавшая системы клиентов, подтвердила взлом 162 клиентских сред. Позднее компания выявила почти 1 000 сред, в которых злоумышленники пытались войти в систему; более чем в 300 из них попытки оказались успешными.
17 октября ConnectWise отключила семь идентификаторов приложений и вывела Cloud Backup из эксплуатации. Компания публично не прокомментировала заявление Microsoft о причастности к атаке группы Storm-0940.
Представитель ConnectWise сообщил изданию The Record, что «нет никаких признаков» компрометации резервных копий данных.
Microsoft заявила, что инцидент не был связан с уязвимостью в собственных системах компании. Она рекомендовала клиентам не включать интеграции с ConnectWise, пока компания не подтвердит, что их можно безопасно восстановить, а также проверить журналы входа в систему как минимум с 15 октября.
21 октября ConnectWise начала поэтапно восстанавливать работу сервиса. Компания ожидает, что на это потребуется несколько дней.
Опубликовано 22 октября 2026 - 06:31 Наверх
