Microsoft опубликовала новые результаты расследования взлома ConnectWise: по её данным, группировка Storm-0940 использовала ИИ-агентов ARTEX для действий в средах Microsoft 365 клиентов резервного сервиса. В части этих сред исследователи обнаружили разведку, изменение ключей приложений и полномочий — операции, способные сохранить посторонний доступ после отключения исходного подключения. Microsoft считает Storm-0940 связанной с китайским государством; это атрибуция исследователей, а не независимо установленная принадлежность.

Ранее мы писали о несанкционированных входах как минимум в 162 организации. Теперь Microsoft связывает последующие действия с конкретным оператором и его инструментом. Механизм входа объясняет разбор Sophos: клиенты сами разрешали Cloud Backup читать данные для резервного копирования. Получив ключ приложения, атакующий мог предъявлять его от имени доверенного сервиса без пароля сотрудника и подтверждения MFA. Sophos наблюдала такой автоматизированный обход клиентских сред 15 октября, включая бывших подписчиков, у которых сохранилось разрешение на подключение.

ARTEX — открытый инструмент автоматизированного тестирования безопасности с несколькими ИИ-агентами. Microsoft сообщает о попытках входа более чем в 2250 клиентских сред после компрометации ConnectWise. Это охват попыток, а не число доказанных краж данных. Компания отдельно предупреждает: даже успешный вход ещё не устанавливает, что письма или файлы читали либо выгружали. Публичного сравнения этой операции с обычной автоматизацией без ИИ нет, поэтому количественно приписывать её скорость именно модели нельзя.

Новые сведения уточняют и предел защитных мер. Если атакующий успел добавить собственные ключи к другим доверенным приложениям, блокировка первоначального ключа ConnectWise не закрывает все созданные пути входа. В обновлении от 22 октября ConnectWise прямо требует отдельной проверки клиентских сред Microsoft 365 на несанкционированные изменения и сохранившийся доступ.

Восстановление сервисов уже идёт поэтапно и, по оценке ConnectWise, займёт несколько дней. Компания не видит признаков компрометации зашифрованных архивов резервных копий. Это заключение относится к самим архивам; оно не отвечает на вопрос, какие данные могли получить через выданные приложению права в средах клиентов.