Microsoft spojil útok na ConnectWise se skupinou napojenou na Čínu

Microsoft ve středu 21. října oznámil, že za nedávným kompromitováním služby ConnectWise Cloud Backup stojí skupina Storm-0940. Microsoft popisuje Storm-0940 jako hrozbu napojenou na čínský stát. Podle společnosti skupina využila k automatizaci útoků agentní framework pro penetrační testování s umělou inteligencí nazvaný ARTEX. „Storm-0940 použila ARTEX k zasažení více než 2 250 nájemců při 2 900 pokusech o přihlášení za minutu, což je tempo, které obráncům ponechává jen málo času na detekci a reakci,“ uvedl tým Microsoft Threat Intelligence.microsoft.com

Jedná se o první veřejné připsání odpovědnosti za tento incident. Před středou ani ConnectWise, ani externí výzkumníci útoky s žádnou známou skupinou nespojovali.cyberscoop.com

AI strojovou rychlostí

Microsoft uvedl, že Storm-0940 je aktivní od roku 2021 a krade data z mnoha odvětví. Již od září 2026 používala ARTEX proti stovkám organizací. Mezi cíle patřil letecký a obranný průmysl, státní správa, finanční služby, výrobci polovodičů a analytická centra. Podle Microsoftu skupina v několika případech získala privilegovaný přístup ke cloudu méně než tři hodiny poté, co se poprvé zaměřila na cíl.microsoft.com

ARTEX je open source a funguje s jakýmkoli modelem AI. Microsoft jej nazývá „systémem agentů řízených LLM, kteří provádějí autonomní penetrační test od průzkumu až po exfiltraci dat s minimální potřebou lidské interakce“. Společnost uvedla, že jej využívají útočníci v několika regionech.cyberscoop.com

Microsoft vysledoval kampaň hádání hesel, která probíhala od 10. do 14. října, ke stejné infrastruktuře. Cílila na 327 účtů v osmi organizacích a zaznamenala více než 151 000 neúspěšných přihlášení, žádné však nebylo úspěšné. Dne 15. října se agenti AI přihlásili k nájemcům zákazníků pomocí ukradených přihlašovacích údajů k aplikaci ConnectWise. V některých prostředích následně prováděli průzkum, měnili přihlašovací údaje aplikací a upravovali privilegované role, uvedl Microsoft.microsoft.com

Dopady pro zákazníky

Útočník využil kompromitované přihlašovací údaje k víceklientské zálohovací aplikaci, dříve známé jako SkyKick, k získání tokenů Microsoft Graph bez nutnosti přihlášení uživatele. To znamenalo, že vícefaktorové ověřování útok nezastavilo. Společnost Huntress potvrdila neoprávněná přihlášení u 162 nájemců. Dne 17. října ConnectWise deaktivoval sedm identit aplikací a pozastavil služby Cloud Backup, SaaS Security a Cloud Management. Společnost uvedla, že nemá žádné důkazy o tom, že by byly kompromitovány archivy záloh.csoonline.com+2

Ve středu ConnectWise oznámil, že zahájil postupné obnovování služeb a očekává, že obnova potrvá několik dní. Zároveň zákazníkům doporučil, aby svá připojení zatím ponechali deaktivovaná.cyberscoop.com

Neodpovězené otázky

Microsoft neuvedl, kolik organizací bylo kompromitováno. Rovněž poznamenal, že úspěšné přihlášení „nutně neznamená, že byla data zákazníků zpřístupněna nebo exfiltrována“. Společnost však varovala, že změny přihlašovacích údajů provedené agenty mohou zůstat na místě jako zadní vrátka i poté, co je původní aplikace opravena.microsoft.com

Výkonný viceprezident Microsoftu Igor Tsyganskiy v příspěvku na síti LinkedIn uvedl, že „od začátku října probíhá vlna kybernetických útoků řízených umělou inteligencí“. Útok na ConnectWise označil za „jeden z mnoha“.cyberscoop.com