Microsoft kopplar ConnectWise-hack till Kina-allierad grupp

Microsoft meddelade på onsdagen den 21 oktober att Storm-0940 låg bakom det nyligen inträffade intrånget i ConnectWise Cloud Backup. Microsoft beskriver Storm-0940 som en hotaktör med kopplingar till den kinesiska staten. Enligt företaget använde gruppen ett agentbaserat AI-ramverk för penetrationstestning kallat ARTEX för att automatisera sina attacker, och "Storm-0940 använde ARTEX för att nå över 2 250 klienter med 2 900 inloggningsförsök per minut, ett tempo som ger försvarare liten tid att upptäcka och reagera," skrev Microsoft Threat Intelligence.microsoft.com

Detta är den första offentliga tillskrivningen av händelsen. Före onsdagen hade varken ConnectWise eller externa forskare kopplat attackerna till en känd grupp.cyberscoop.com

AI i maskinhastighet

Microsoft uppger att Storm-0940 har varit aktiv sedan 2021 och stjäl data från många branscher. Redan i september 2026 använde de ARTEX mot hundratals organisationer. Målen inkluderade flyg- och försvarsindustri, myndigheter, finansiella tjänster, halvledarföretag och tankesmedjor. I flera fall fick gruppen privilegierad molnåtkomst mindre än tre timmar efter att de först riktat in sig på ett mål, enligt Microsoft.microsoft.com

ARTEX är öppen källkod och fungerar med alla AI-modeller. Microsoft kallar det "ett system av LLM-drivna agenter som utför ett autonomt penetrationstest från rekognosering till dataexfiltrering med minimalt behov av mänsklig interaktion." Företaget uppger att hotaktörer i flera regioner använder verktyget.cyberscoop.com

Microsoft spårade en kampanj med lösenordsspridning som pågick från den 10 till 14 oktober till samma infrastruktur. Den riktade sig mot 327 konton i åtta organisationer och loggade mer än 151 000 misslyckade inloggningar, men ingen lyckades. Den 15 oktober loggade AI-agenterna in hos kundklienter med hjälp av stulna ConnectWise-applikationsuppgifter. I vissa miljöer fortsatte de med att utföra rekognosering, ändra applikationsuppgifter och ändra privilegierade roller, uppger Microsoft.microsoft.com

Konsekvenser för kunder

Angriparen använde en komprometterad inloggningsuppgift för backup-appen med flera klienter, tidigare kallad SkyKick, för att hämta Microsoft Graph-tokens utan att någon användare loggade in. Det innebar att multifaktorautentisering inte stoppade angreppet. Huntress bekräftade obehöriga inloggningar i 162 klienter. Den 17 oktober inaktiverade ConnectWise sju applikationsidentiteter och stängde av Cloud Backup, SaaS Security och Cloud Management. Företaget säger att de inte har några bevis för att backup-arkiv har komprometterats.csoonline.com+2

På onsdagen meddelade ConnectWise att de börjat återställa tjänster i etapper och förväntar sig att återställningen tar flera dagar. De uppmanade också kunder att hålla sina anslutningar inaktiverade tills vidare.cyberscoop.com

Obesvarade frågor

Microsoft uppgav inte hur många organisationer som komprometterats. De noterade också att en lyckad inloggning "inte nödvändigtvis innebär att kunddata har kommit åt eller exfiltrerats." Företaget varnade dock för att ändringar i inloggningsuppgifter som gjorts av agenterna kan finnas kvar som bakdörrar även efter att den ursprungliga appen har lagats.microsoft.com

Microsofts vice VD Igor Tsyganskiy sa i ett inlägg på LinkedIn att "sedan början av oktober har en våg av AI-drivna cyberattacker pågått." Han kallade ConnectWise-attacken "en av många".cyberscoop.com