Storm-0940, הקשורה לסין, משתמשת בסוכני AI של ARTEX בהתקפת שרשרת האספקה על ConnectWise

פגיעה בשרשרת האספקה

מיקרוסופט הודיעה כי שחקן האיום Storm-0940, הקשור לסין, פגע באפליקציית ConnectWise Cloud Backup בהתקפת שרשרת אספקה. הקבוצה פעילה לפחות מאז 2021, ומיקרוסופט תיארה אותה לראשונה בנובמבר 2024. Storm-0940 משתמשת בבוטנט המכונה Quad7 כדי לבצע התקפות ריסוס סיסמאות חמקניות במיוחד, ומנצלת אפליקציות החשופות לאינטרנט לצורך גישה ראשונית.

שימוש בסוכני ה-AI של ARTEX

התוקפים השתמשו ב-ARTEX, מסגרת בדיקות חדירה מבוססת Go עם יכולות AI סוכניות, שהפכה לקוד סגור לאחר השימוש לרעה בה נגד מוסדות פיננסיים בדרום קוריאה. ARTEX איפשרה לקבוצה לבצע באופן אוטומטי, החל מספטמבר 2026, סריקה, איסוף מודיעין, ריסוס סיסמאות ושימוש לרעה באפליקציות OAuth במהירות מכונה בקרב מאות ארגונים ברחבי העולם. בתקרית ConnectWise ניסו סוכני ה-AI להתחבר ליותר מ-2,250 טננטים בקצב של 2,900 ניסיונות בדקה. בין 10 ל-14 באוקטובר 2026 השיקה התשתית בכתובת 144.172.64.99 קמפיין ריסוס סיסמאות חוצה טננטים שכוון ל-327 חשבונות בשמונה ארגונים, ויצרה יותר מ-151,000 אירועי התחברות כושלים, עם שיא של 2,900 כשלים בדקה ב-11 באוקטובר. במהלך חלון זה לא זוהתה התחברות מוצלחת. ב-15 באוקטובר 2026 השיגו הסוכנים שליטה בזהויות של כמה אפליקציות ענן של ConnectWise והשתמשו בהן כדי להזדהות בסביבות של לקוחות, תוך ביצוע פעולות ב-Microsoft Graph ובספרייה, ובהן איסוף מודיעין, שינויים בפרטי ההתחברות של האפליקציות ושינוי תפקידים מיוחסים.

השפעה ותגובה

התקפות שהונעו ב-ARTEX הניבו גישה מיוחסת לענן במספר מקרים, כאשר הזמן מסימון היעד הראשוני ועד להשגת גישה מיוחסת נמדד בפחות משלוש שעות. מיקרוסופט הזהירה כי שינויי פרטי ההתחברות שביצעו הסוכנים עשויים להישאר כדלת אחורית גם לאחר שהאפליקציה שנפגעה תוקנה. המסגרת אומצה גם על ידי שחקני איום באזורים גאוגרפיים שונים. ConnectWise מסרה כי הקמפיין חורג מכל חברה בודדת, וכי שחקנים ממלכתיים מכוונים יותר ויותר לשרשרת אספקת התוכנה. החברה השביתה את השירותים באופן זמני ומשחזרת אותם בשלבים, תהליך שלדברי החברה יימשך כמה ימים.

כיסוי קודם: ConnectWise עצר Cloud Backup בטננטים של Microsoft 365 לאחר חדירת תוקפים

מקורות: The Hacker News