Atacul ConnectWise: Microsoft indică Storm-0940 și ARTEX

Accesul neautorizat la tenanții Microsoft 365 prin aplicațiile cloud ConnectWise, despre care ARX News a scris pe 17 octombrie, are acum un nume. Potrivit analizei Microsoft, publicată pe 22 octombrie și preluată de SecurityWeek și Insicurezza Digitale, în spatele activității se află Storm-0940, care a automatizat o mare parte din operațiune cu ARTEX, framework-ul open source de penetration testing bazat pe agenți IA. Sursele aduc cifre, o fază anterioară de password spraying și indicații noi despre ce trebuie verificat în tenanți.

Cine este Storm-0940

Potrivit SecurityWeek, care citează Microsoft, Storm-0940 este un actor legat de China, activ cel puțin din 2021 și cunoscut pentru password spraying și exploatarea aplicațiilor expuse pe internet, împotriva organizațiilor din multe sectoare. Insicurezza Digitale este mai prudentă: amintește că denumirile „Storm-” indică grupuri de activitate încă neatribuite cu certitudine unui grup cunoscut și scrie că sursele publice nu menționează o atribuire statală explicită.

Tot potrivit SecurityWeek, Storm-0940 folosește ARTEX pentru a-și automatiza atacurile de la începutul lui septembrie 2026, împotriva a sute de organizații din sectoarele aerospațial, auto, chimic, apărare, energie, servicii financiare, administrație publică, juridic, producție, media, militar, semiconductori, software și tehnologie, precum și împotriva organizațiilor non-profit și a think tank-urilor. Analizele anterioare ale CrowdStrike, Zscaler și Recorded Future legaseră această activitate de atacurile împotriva instituțiilor financiare sud-coreene, despre care ARX News a scris pe 8 octombrie; atunci CrowdStrike nu o atribuia unui grup cunoscut. Săptămâna aceasta Zscaler a publicat o analiză tehnică despre modul în care actorul folosește ARTEX: configurații, scripturi de sincronizare, un istoric de prompturi Claude Code și instrumente de rutare a rețelei.

Lanțul de atac potrivit Microsoft

• Password spraying cu viteză de mașină: cu ARTEX, actorul a accelerat recunoașterea, password spraying-ul și abuzul de aplicații OAuth. Insicurezza Digitale plasează această fază între 10 și 14 octombrie: 327 de conturi din opt organizații, vârfuri de circa 2.900 de încercări pe minut și peste 151.000 de autentificări eșuate înregistrate de Microsoft. Singură, această fază nu a reușit.
• Acces cu identitățile aplicațiilor: Microsoft a observat însă autentificări reușite în mediile clienților cu identitățile mai multor aplicații cloud ConnectWise. După accesul neautorizat, potrivit Microsoft, Storm-0940 a folosit ARTEX pentru a încerca autentificarea în peste 2.250 de tenanți. Abuzul de aplicații OAuth face parte de mult din repertoriul său; noutatea, scrie Microsoft, este că l-a dus „la viteză de mașină”.
• Operațiuni în director: în unele medii, agenții IA, în numele actorului, au mers dincolo de autentificare, cu operațiuni în Microsoft Graph și în director: recunoaștere, modificarea credențialelor aplicațiilor pentru persistență, modificări ale identităților, grupurilor și rolurilor privilegiate.
• Persistență dincolo de remediere: modificând credențialele aplicațiilor, avertizează Microsoft, atacatorul păstrează accesul chiar și după ce aplicația afectată a fost remediată.

Potrivit Insicurezza Digitale, în unele cazuri de la alegerea țintei până la accesul privilegiat au trecut mai puțin de trei ore. Aceeași publicație arată că Microsoft nu a găsit dovezi directe de citire sau exfiltrare a e-mailurilor și fișierelor, dar că unele citiri făcute prin aplicații nu apar în logurile standard și că infrastructura Microsoft nu a fost compromisă. Modul în care a fost obținută credențiala este încă în curs de investigare.

Insicurezza Digitale relatează și că ConnectWise a început pe 21 octombrie repunerea treptată în funcțiune a serviciilor; informația nu apare în celelalte surse.

În lectura noastră, tehnicile MITRE ATT&CK relevante sunt T1110.003 (Password Spraying), T1199 (Trusted Relationship), T1087.004 (Cloud Account Discovery), T1098.001 (Additional Cloud Credentials) și T1098.003 (Additional Cloud Roles). Sursele nu publică indicatori noi față de cei deja cunoscuți.

O campanie distinctă: token spraying-ul descris de Huntress

În aceeași zi, Help Net Security și Infosecurity Magazine au relatat o altă analiză Huntress, pe care sursele nu o leagă de Storm-0940. Între 14 iulie și 22 septembrie 2026, un atacator a refolosit masiv tokenuri de sesiune Microsoft 365 furate prin pagini AiTM, phishing cu cod de dispozitiv și inginerie socială: 497 de autentificări reușite în 79 de organizații și peste 200.000 de încercări eșuate, de la șase adrese din intervalul 193.26.115.0/24 al unui furnizor de hosting din Hamburg. Pentru a rămâne în interior, a înregistrat cel puțin 48 de calculatoare false în Entra ID, cu nume „DESKTOP-” urmate de opt caractere hexazecimale, a înlocuit metodele MFA ale victimelor în 19 organizații și a creat reguli de e-mail cu nume precum „.”, „sss” și „iT” pentru a ascunde mesaje, inclusiv într-o tentativă de fraudă cu salariile. Politicile de Conditional Access au blocat 1.052 de autentificări în patru organizații.

Impactul pentru companiile europene și italiene

Energia, industria chimică, producția, administrația publică, serviciile financiare și digitale sunt sectoare NIS2, iar multe se află pe lista țintelor Storm-0940. Punctul tehnic este ritmul: un actor care automatizează spraying-ul, recunoașterea și modificările din director lasă apărătorilor ore, nu zile. Dacă ai făcut deja verificările recomandate după primul avertisment, întoarce-te la loguri cu informațiile noi: o fază anterioară, operațiuni și asupra grupurilor și identităților și o persistență care supraviețuiește dezactivării aplicațiilor ConnectWise.

Ce trebuie făcut acum

1. Lărgește fereastra de căutare cel puțin până la 10 octombrie și caută rafale de autentificări eșuate din rețele de hosting împotriva multor conturi.
2. Corelează autentificările service principal-urilor cu activitatea Graph care urmează, modificările din director și accesul la resurse, comparându-le cu activitățile administrative autorizate, cum recomandă Microsoft.
3. Verifică grupurile și identitățile, nu doar rolurile: membri adăugați în grupuri privilegiate, utilizatori noi, modificări ale utilizatorilor existenți.
4. Nu considera remedierea încheiată odată cu dezactivarea aplicațiilor ConnectWise: verifică credențialele și certificatele tuturor aplicațiilor din tenant.
5. Înainte de a reactiva serviciile ConnectWise, urmează instrucțiunile furnizorului și verifică ce identități de aplicație redevin active.
6. Împotriva token spraying-ului: Conditional Access cu MFA, sau blocare, pentru toți utilizatorii, toate aplicațiile cloud și toate tipurile de client; verificarea dispozitivelor înregistrate în Entra ID, a metodelor MFA și a regulilor de e-mail; la suspiciune, revocarea sesiunilor și resetarea parolei.

Cum ajută ARXDOME

ARX Horizon îmbogățește evenimentele cu listele de amenințări, inclusiv adresele deja publicate pentru această campanie, iar ARX Sentry aduce în paginile SOC logurile firewall-urilor în care să le cauți. Verificările din tenantul Microsoft 365 rămân de făcut în centrul de administrare Entra ID.

Ultima actualizare: 23 octombrie 2026