Microsoft pripisuje útok cez ConnectWise aktérovi Storm-0940, spomína framework ARTEX
Microsoft uvádza, že aktér Storm-0940 využil kompromitovanú multitenantovú aplikáciu ConnectWise a framework ARTEX na prístup do prostredí Microsoft 365. Huntress potvrdil neoprávnené prihlásenia a zmeny oprávnení v časti tenantov.
Storm-0940 ARTEX útok podľa analýzy Microsoftu zasiahol od septembra 2026 stovky organizácií. Microsoft pripisuje aktivitu aktérovi napojenému na čínsky štát a uvádza, že pri kampani použil agentický penetračný framework ARTEX spolu s kompromitáciou multitenantovej aplikácie ConnectWise. Nezávislé pozorovania spoločnosti Huntress potvrdzujú neoprávnené prihlásenia cez poverenie ConnectWise Cloud Backup a následné zmeny oprávnení v niektorých prostrediach Microsoft 365.
Storm-0940 ARTEX útok cez dôveryhodnú aplikáciu
Podľa Microsoftu sa zneužité aplikácie prihlasovali do tenantov Microsoft 365 bez interaktívneho prihlásenia používateľa. Následne vykonávali prieskum prostredia prostredníctvom Microsoft Graphu, menili aplikačné poverenia a pokúšali sa upraviť pridelené oprávnenia.
Huntress uviedol, že zaznamenal neoprávnené prihlásenia využívajúce kompromitované poverenie ConnectWise Cloud Backup. V časti tenantov pozoroval pridelenie roly Global Administrator samotnej aplikácii aj pridávanie nových tajomstiev aplikáciám. Takéto kroky môžu útočníkovi vytvoriť trvalejší prístup k prostrediu bez potreby používateľského účtu alebo viacfaktorového overenia používateľa.
Nejde pritom o popísanú zraniteľnosť produktov Microsoftu. Rizikom je kompromitácia dôveryhodnej aplikácie tretej strany, ktorej organizácia už udelila oprávnenia v rámci svojho tenanta.
ARTEX a hranice dostupných zistení
Microsoft uvádza, že Storm-0940 od septembra používal ARTEX proti stovkám organizácií. Prípad je konkrétnym príkladom nasadenia agentického AI frameworku pri útočných aktivitách, no verejne dostupné informácie neobjasňujú, ktoré jednotlivé úkony ARTEX vykonal autonómne a ktoré predstavovali bežnú automatizáciu riadenú útočníkom.
Pripísanie kampane skupine Storm-0940 a jej väzbám na čínsky štát je hodnotením Microsoftu. Nie je to verejne doložené zistenie orgánu činného v trestnom konaní. Nejasný zostáva aj presný počet úspešných prístupov a úplný rozsah zasiahnutých organizácií.
Microsoft ani Huntress nepotvrdili exfiltráciu zákazníckych dát. Samotné úspešné prihlásenie aplikácie alebo jej prítomnosť v tenante preto nepreukazuje, že útočník získal prístup k dátam.
Čo majú správcovia Microsoft 365 preveriť
Microsoft a ConnectWise odporúčajú zákazníkom preveriť najmä aktivitu service principalov, zmeny aplikačných poverení a zmeny privilegovaných oprávnení. Dôležité je zachovať dostupné logy a vykonať aktuálne kroky obnovy a rotácie poverení podľa pokynov ConnectWise.
- Skontrolovať prihlásenia service principalov súvisiace s aplikáciami ConnectWise.
- Vyhľadať pridanie alebo zmeny klientskych tajomstiev a ďalších poverení aplikácií.
- Preveriť pridelenie privilegovaných rolí vrátane Global Administrator.
- Zachovať relevantné záznamy pre ďalšie vyšetrovanie a použiť nápravné postupy ConnectWise.
Ďalšie informácie sa očakávajú najmä od ConnectWise: vrátane potvrdených údajov o príčine kompromitácie, rotácii poverení a počte dotknutých tenantov. Podstatné bude tiež prípadné potvrdenie prístupu k dátam, nové indikátory kompromitácie a spresnenie atribúcie aj úlohy frameworku ARTEX.
Zdroje
- Microsoft Security Blog – Microsoftovo pripísanie aktivity Storm-0940, opis použitia ARTEX, techniku zneužitia aplikácií ConnectWise, známe pozorovania a odporúčané kroky obrany.
- Huntress – Nezávislé pozorovania zneužitia poverení ConnectWise, neoprávnených prihlásení, zmien privilégií a pretrvávajúcu neistotu o prístupe k dátam.
- ConnectWise – Cloud Backup technical investigation and remediation guide – Oficiálny zdroj ConnectWise pre technické preverenie a nápravné kroky zákazníkov.
Overené a aktualizované: 22. 10. 2026 06:24
