Grupa powiązana z Chinami, działająca pod nazwą Storm-0940, przeprowadziła szeroko zakrojoną kampanię wymierzoną w klientów ConnectWise. Atakujący wykorzystali open-source'owy framework Artex, który pozwala na wykorzystanie sztucznej inteligencji do automatyzacji procesów penetracyjnych. Dzięki temu tempo ataków drastycznie wzrosło, osiągając nawet 2900 prób logowania na minutę.
Napastnicy skupili się na atakach typu password spraying oraz nadużyciach aplikacji OAuth. Po uzyskaniu dostępu do środowisk Microsoft 365, wykorzystywali agentów AI do operacji w usłudze Microsoft Graph oraz manipulacji w katalogu. Zmieniali poświadczenia aplikacji, co pozwalało im na utrzymanie trwałego dostępu do systemów ofiar nawet po usunięciu pierwotnego zagrożenia.
Kampania objęła setki organizacji z wielu sektorów, w tym przemysł obronny, finansowy, energetyczny oraz rządowy. Microsoft odnotował ponad 151 tysięcy nieudanych prób logowania, ale potwierdził również przypadki skutecznej autoryzacji przy użyciu skompromitowanych poświadczeń chmurowych aplikacji ConnectWise.
Aby zminimalizować ryzyko, organizacje powinny monitorować logowania usług (service principals) pod kątem nietypowej aktywności w Microsoft Graph. Kluczowe jest korelacja zmian w uprawnieniach, grupach i rolach administracyjnych z autoryzowanymi działaniami administratorów, aby wykryć nieuprawnione modyfikacje wprowadzane przez napastników.
