Группа Storm-0940 использовала ИИ-агентов в атаке на ConnectWise Cloud Backup, чтобы получить доступ к средам клиентов сервиса резервного копирования. По данным Microsoft, агенты ускоряли поиск целей и работу с уже выданными приложению разрешениями. Компания зафиксировала дальнейшие действия злоумышленников в нескольких клиентских средах, но не считает каждую попытку входа свидетельством утечки данных.
После получения контроля над учётными данными нескольких облачных приложений ConnectWise злоумышленники попытались войти более чем в 2250 клиентских сред Microsoft 365. Приложения уже имели разрешения на доступ к ним, поэтому интерактивный вход пользователя не требовался. Microsoft связывает атаку с Storm-0940, группой, которую компания относит к действующим в интересах Китая. В нескольких атаках с применением ИИ группа получила привилегированный доступ к облачной инфраструктуре менее чем за три часа с момента выбора цели.
Для автоматизации Storm-0940 применяла открытый фреймворк тестирования безопасности ARTEX. Его ИИ-агенты могут вести проверку от разведки до извлечения данных при ограниченном участии человека. Во время атаки на клиентов ConnectWise инструмент ускорял сканирование, подбор паролей и использование разрешений OAuth-приложений. В отдельных клиентских средах Microsoft заметила действия через интерфейс Microsoft Graph: разведку, изменение учётных данных приложений и попытки изменить привилегии.
Изменённые учётные данные способны сохранить злоумышленникам доступ через другие приложения и учётные записи даже после отключения исходного подключения ConnectWise. Microsoft подчёркивает: наличие затронутого приложения или даже успешный вход не доказывают, что кто-то получил доступ к данным клиента либо вывел их. Атака также не была следствием уязвимости или взлома систем и продуктов самой Microsoft.
Storm-0940 действует как минимум с 2021 года. Ранее группа использовала подбор паролей и уязвимости доступных из интернета приложений, а для сохранения доступа в облаке добавляла учётные данные к существующим OAuth-приложениям. По наблюдениям Microsoft, уже в сентябре 2026 года она применяла ARTEX против сотен организаций из разных отраслей по всему миру. Среди целей были организации оборонной, энергетической, финансовой и государственной сфер.
С 10 по 14 октября инфраструктура Storm-0940 атаковала подбором паролей 327 учётных записей в восьми организациях. Microsoft насчитала более 151 000 неудачных попыток входа, причём 11 октября их число достигало 2900 в минуту. Успешных входов в ходе этой части кампании компания не обнаружила. В сообщениях об атаке на ConnectWise встречается та же цифра 2900 применительно к входам в клиентские среды, однако Microsoft относит её именно к подбору паролей.
ConnectWise опубликовала первое предупреждение о попытках несанкционированного доступа, связанных с Cloud Backup, 16 октября. Как сообщает The Next Web, 17 октября компания отключила семь идентификаторов приложений и вывела сервис из работы. По данным издания, поэтапное восстановление Cloud Backup началось 21 октября. Эти меры касаются сервиса, через который IT-провайдеры создают резервные копии данных клиентов Microsoft 365.
Microsoft советует организациям сохранять затронутые подключения ConnectWise отключёнными до получения указаний по восстановлению и не начинать проверку с удаления приложений. Сначала нужно сохранить конфигурацию и журналы событий, затем изучить входы от имени приложений, изменения их учётных данных и разрешений, а также действия через Microsoft Graph. Проверять следует и подключения, которые были разрешены ранее, даже если интеграция больше не используется. Компания рекомендует просматривать события как минимум с 15 октября и не ограничивать поиск опубликованными IP-адресами злоумышленников.