Microsoft knytter ConnectWise-hack til Kina-tilknyttet gruppe

Microsoft kunngjorde onsdag 21. oktober at Storm-0940 sto bak det nylige kompromisset av ConnectWise Cloud Backup. Microsoft beskriver Storm-0940 som en trusselaktør med tilknytning til den kinesiske staten. Ifølge selskapet brukte gruppen et agentbasert AI-rammeverk for penetrasjonstesting kalt ARTEX for å automatisere angrepene, og "Storm-0940 brukte ARTEX for å nå over 2 250 leietakere med 2 900 påloggingsforsøk per minutt, et tempo som gir forsvarere liten tid til å oppdage og reagere," skrev Microsoft Threat Intelligence.microsoft.com

Dette er den første offentlige tilskrivingen av hendelsen. Før onsdag hadde verken ConnectWise eller eksterne forskere knyttet angrepene til en kjent gruppe.cyberscoop.com

AI i maskinhastighet

Microsoft opplyser at Storm-0940 har vært aktiv siden 2021 og stjeler data fra mange bransjer. Fra så tidlig som september 2026 brukte de ARTEX mot hundrevis av organisasjoner. Målene inkluderte luftfart og forsvar, myndigheter, finansielle tjenester, halvlederbedrifter og tenketanker. I flere tilfeller fikk gruppen privilegert skytilgang mindre enn tre timer etter at de først rettet seg mot et mål, ifølge Microsoft.microsoft.com

ARTEX er åpen kildekode og fungerer med alle AI-modeller. Microsoft kaller det "et system av LLM-drevne agenter som utfører en autonom penetrasjonstest fra rekognosering til dataeksfiltrering med minimalt behov for menneskelig interaksjon." Selskapet opplyser at trusselaktører i flere regioner bruker verktøyet.cyberscoop.com

Microsoft sporet en kampanje med passordsprøyting som pågikk fra 10. til 14. oktober til den samme infrastrukturen. Den rettet seg mot 327 kontoer på tvers av åtte organisasjoner og logget mer enn 151 000 mislykkede pålogginger, men ingen lyktes. Den 15. oktober logget AI-agentene seg inn hos kundeleietakere ved hjelp av stjålne ConnectWise-applikasjonslegitimasjoner. I enkelte miljøer fortsatte de med å utføre rekognosering, endre applikasjonslegitimasjon og endre privilegerte roller, opplyser Microsoft.microsoft.com

Konsekvenser for kunder

Angriperen brukte en kompromittert legitimasjon for sikkerhetskopieringsappen med flere leietakere, tidligere kalt SkyKick, for å hente Microsoft Graph-tokens uten at noen brukere logget inn. Det betydde at flerfaktorautentisering ikke stoppet angrepet. Huntress bekreftet uautoriserte pålogginger i 162 leietakere. Den 17. oktober deaktiverte ConnectWise sju applikasjonsidentiteter og suspenderte Cloud Backup, SaaS Security og Cloud Management. Selskapet sier de ikke har bevis for at sikkerhetskopier ble kompromittert.csoonline.com+2

Onsdag opplyste ConnectWise at de hadde begynt å gjenopprette tjenester i faser og forventer at gjenopprettingen vil ta flere dager. De ba også kunder om å holde tilkoblingene sine deaktivert inntil videre.cyberscoop.com

Ubesvarte spørsmål

Microsoft oppga ikke hvor mange organisasjoner som ble kompromittert. De bemerket også at en vellykket pålogging "ikke nødvendigvis betyr at kundedata ble aksessert eller eksfiltrert." Selskapet advarte imidlertid om at endringer i legitimasjon utført av agentene kan forbli som bakdører selv etter at den opprinnelige appen er fikset.microsoft.com

Microsofts konserndirektør Igor Tsyganskiy sa i et LinkedIn-innlegg at "siden begynnelsen av oktober har en bølge av AI-drevne cyberangrep pågått." Han kalte ConnectWise-angrepet "ett av mange".cyberscoop.com