Облачный взлом может уложиться в рабочее совещание. Microsoft раскрыла масштабную операцию Storm-0940, участники которой применяли ИИ-платформу ARTEX для атак на сотни организаций по всему миру. В нескольких подтверждённых эпизодах от выбора цели до получения привилегированного доступа к облаку проходило менее трёх часов.

Кампания началась не позднее сентября 2026 года. ARTEX представляет собой открытую систему ИИ-агентов, способную самостоятельно искать доступные сервисы, проверять слабые места и выполнять последовательные действия по взлому. Ранее платформу уже связывали со взломами банков в Южной Корее, где злоумышленники похитили данные.

Главным эпизодом стала атака на цепочку поставок через ConnectWise Cloud Backup, прежде известный как SkyKick. По оценке Microsoft, Storm-0940 получила контроль над учётными данными нескольких облачных приложений ConnectWise и через доверенные подключения начала входить в Microsoft 365 клиентов. Для такого доступа не требовались ни пароли пользователей, ни подтверждение входа человеком.

С 10 по 14 октября атакующая инфраструктура перебирала распространённые пароли для 327 учётных записей в восьми организациях. Microsoft зафиксировала более 151 тысячи неудачных попыток входа, причём пиковая скорость достигала 2900 за минуту. Прямой подбор успеха не принёс. Успешных входов, выдачи токенов или изменений в каталогах во время кампании не обнаружили.

После компрометации ConnectWise злоумышленники попытались войти более чем в 2250 облачных сред Microsoft 365. ИИ-агенты ускоряли обращения к приложениям, которым клиенты уже доверяли. В некоторых средах атакующие переходили к Microsoft Graph, изучали структуру каталогов, добавляли учётные данные приложений и изменяли назначения ролей, добиваясь длительного доступа.

Самая неприятная особенность атаки связана с закреплением в чужой инфраструктуре. Добавленные злоумышленниками ключи и разрешения могут продолжить работать даже после отключения скомпрометированного приложения поставщика. Microsoft обнаружила такие действия в нескольких клиентских средах, но подчёркивает, что успешный вход сам по себе не доказывает чтение или похищение данных.

ConnectWise 17 октября отключила скомпрометированные подключения и приостановила Cloud Backup, SaaS Security и Cloud Management. Компания начала поэтапно восстанавливать сервисы 21 октября, но предупредила, что процесс займёт несколько дней. Архивы резервных копий остались зашифрованными и изолированными, признаков доступа к архивам пока нет.

Microsoft рекомендует проверить журналы входа сервисных приложений в Entra ID, изменения разрешений и обращения к Microsoft Graph, уделяя внимание клиентским средам с прежними интеграциями ConnectWise. Подозрительные ключи и роли нужно удалять после сохранения следов атаки. Признаков взлома собственных систем Microsoft в описанной операции компания не обнаружила.