Wprowadzenie do problemu / definicja
Ataki na łańcuch dostaw pozostają jednym z najpoważniejszych wyzwań współczesnego cyberbezpieczeństwa. W opisywanym przypadku naruszenie powiązane z usługą ConnectWise Cloud Backup zostało przez Microsoft przypisane grupie Storm-0940, kojarzonej z działaniami ukierunkowanymi na środowiska chmurowe i tożsamości aplikacyjne.
Szczególną uwagę zwraca wykorzystanie narzędzia ARTEX, opartego na agentach AI. To sygnał, że sztuczna inteligencja coraz częściej pełni nie tylko funkcję wsparcia analitycznego, ale staje się elementem automatyzującym realne operacje ofensywne prowadzone na dużą skalę.
W skrócie
Według ustaleń Microsoft atakujący mieli wykorzystać przejęte poświadczenia aplikacyjne związane z ConnectWise Cloud Backup do uzyskiwania dostępu do środowisk klientów Microsoft 365. Kampania miała obejmować ponad 2250 tenantów, a w części przypadków czas od rozpoczęcia działań do zdobycia uprzywilejowanego dostępu wynosił mniej niż trzy godziny.
Kluczowym elementem ataku było użycie frameworka ARTEX do przyspieszenia rekonesansu, prób uwierzytelniania oraz nadużyć związanych z aplikacjami OAuth i obiektami service principal. Zagrożenie nie ograniczało się wyłącznie do jednorazowego dostępu, ale obejmowało również budowanie trwałości poprzez modyfikację poświadczeń aplikacyjnych.
Kontekst / historia
Storm-0940 to grupa aktywna co najmniej od 2021 roku, wiązana z interesami państwa chińskiego. Wcześniej była łączona z kampaniami password sprayingu, nadużyciami aplikacji OAuth oraz poruszaniem się po środowiskach chmurowych po uzyskaniu dostępu do tożsamości i aplikacji o podwyższonych uprawnieniach.
W analizowanym łańcuchu zdarzeń najpierw odnotowano zautomatyzowaną kampanię password sprayingu prowadzoną między 10 a 14 października 2026 roku. Telemetria wskazywała na ponad 151 tysięcy nieudanych prób logowania wymierzonych w 327 kont w ośmiu organizacjach, przy szczytowym natężeniu sięgającym około 2900 prób na minutę.
Choć sama kampania haseł nie doprowadziła do skutecznego logowania, miała charakter przygotowawczy. Po ujawnieniu incydentu związanego z ConnectWise atakujący mieli przejść od klasycznych prób logowania do wykorzystania przejętych tożsamości aplikacyjnych, co umożliwiało dostęp do środowisk klientów bez interaktywnego logowania użytkownika końcowego.
Analiza techniczna
Najważniejszym aspektem technicznym tej kampanii było połączenie kompromitacji aplikacji wielodostępnej z agentowym frameworkiem AI. ARTEX to wieloagentowy system testów penetracyjnych napisany w Go, wyposażony w interfejs frontendowy i zdolność współpracy z różnymi modelami językowymi. W praktyce pozwala to zautomatyzować kolejne etapy ataku i znacząco skrócić czas potrzebny na realizację działań ofensywnych.
Po zdobyciu poświadczeń aplikacyjnych napastnicy mogli wykonywać logowania typu app-only do tenantów Microsoft 365 i uruchamiać operacje z użyciem Microsoft Graph. Tego rodzaju aktywność jest szczególnie trudna do wykrycia, ponieważ opiera się na legalnych interfejsach API i prawidłowych tokenach aplikacyjnych, a nie na klasycznym malware działającym na stacji końcowej.
Microsoft wskazał, że po skutecznym uwierzytelnieniu atakujący mogli realizować kilka następujących po sobie etapów:
- rekonesans katalogu i zasobów,
- przegląd tożsamości, grup i ról uprzywilejowanych,
- modyfikację poświadczeń aplikacji i service principal,
- próby rozszerzania uprawnień,
- utrwalanie dostępu przez dodanie nowych credentiali do zaufanych aplikacji.
Najbardziej niebezpieczny był właśnie etap utrwalenia dostępu. Jeżeli napastnik doda własny sekret lub certyfikat do już zaufanej aplikacji, samo odłączenie integracji lub cofnięcie części uprawnień może nie wystarczyć do całkowitego usunięcia zagrożenia. Taki backdoor na poziomie tożsamości aplikacyjnej może pozostać aktywny także po rozpoczęciu działań ograniczających incydent.
Kampania ta pokazuje też zmianę jakościową w działaniach APT. AI nie zastępuje klasycznych technik, lecz działa jako akcelerator dla znanych metod, takich jak password spraying, abuse of OAuth, Graph reconnaissance czy privilege manipulation. Różnicę stanowią tempo, równoległość i możliwość obsługi wielu ścieżek ataku jednocześnie.
Konsekwencje / ryzyko
Największe ryzyko wynika z faktu, że kompromitacja nie musi obejmować urządzeń końcowych użytkowników. Atak prowadzony przez zaufane relacje między aplikacją a tenantem może pozostawać długo niewidoczny dla narzędzi skupionych głównie na analizie endpointów.
Dla organizacji skutki takiego incydentu mogą obejmować:
- dostęp do danych w Microsoft 365 bez logowania użytkownika,
- utrwalenie obecności przez modyfikację credentiali aplikacyjnych,
- ryzyko eskalacji uprawnień do ról administracyjnych,
- możliwość przygotowania kolejnych etapów ataku, w tym eksfiltracji danych,
- wzrost obciążenia zespołów SOC i IR ze względu na bardzo szybkie tempo działań napastnika.
Szczególnie narażone są organizacje korzystające z aplikacji wielodostępnych o szerokich uprawnieniach, z ograniczoną retencją logów lub bez monitoringu zmian w service principal, consent grants i aktywności typu app-only.
Dodatkowe ryzyko dotyczy procesów backupu i odtwarzania. Gdy incydent obejmuje integrację z usługą kopii zapasowych, organizacja musi równocześnie dbać o ciągłość działania i zabezpieczyć materiał dowodowy potrzebny do analizy powłamaniowej.
Rekomendacje
Organizacje korzystające z potencjalnie dotkniętych integracji powinny założyć, że incydent mógł objąć tożsamości aplikacyjne, a nie tylko pojedynczą usługę dostawcy. Priorytetem powinno być ustalenie, czy w tenantach doszło do dodania nowych poświadczeń, zgód lub przypisań ról.
Najważniejsze działania operacyjne obejmują:
- utrzymanie wyłączonych połączeń aplikacyjnych objętych incydentem do czasu uzyskania formalnych instrukcji przywrócenia,
- powstrzymanie się od natychmiastowego usuwania aplikacji enterprise, aby nie zniszczyć artefaktów potrzebnych do analizy,
- zinwentaryzowanie wszystkich powiązanych application ID oraz odpowiadających im service principal w każdym tenantcie,
- analizę logów sign-in, audit i aktywności Graph co najmniej od 15 października 2026 roku, a najlepiej od 1 października 2026 roku,
- oddzielny przegląd udanych i nieudanych logowań service principal,
- sprawdzenie dodania sekretów, certyfikatów, ownerów aplikacji, consent grants, app-role assignments i zmian w rolach uprzywilejowanych,
- zbadanie nietypowej aktywności w Microsoft Graph, w tym enumeracji zasobów i niestandardowego dostępu do poczty lub plików,
- usunięcie nieautoryzowanych credentiali, zgód i przypisań po zabezpieczeniu materiału dowodowego,
- rotację poświadczeń aplikacyjnych i walidację wszystkich zaufanych integracji zewnętrznych.
W dłuższej perspektywie warto wdrożyć zasadę najmniejszych uprawnień dla aplikacji wielodostępnych, stały monitoring zmian w service principal i uprawnieniach OAuth, alertowanie dla nietypowej aktywności app-only oraz ćwiczenia reagowania na incydenty uwzględniające scenariusze naruszenia łańcucha dostaw z udziałem aplikacji SaaS.
Podsumowanie
Incydent powiązany z ConnectWise i grupą Storm-0940 pokazuje, jak szybko ewoluują operacje APT w kierunku szerokiej automatyzacji. ARTEX nie wprowadza całkowicie nowych technik włamania, ale znacząco zwiększa tempo i skalę wykorzystania już znanych metod.
Dla obrońców oznacza to konieczność przesunięcia uwagi z tradycyjnego modelu użytkownik–endpoint na warstwę tożsamości aplikacyjnej, uprawnień OAuth i aktywności realizowanej przez API. W środowiskach chmurowych zaufana aplikacja z nadmiernymi uprawnieniami może stać się skutecznym wektorem trwałej kompromitacji, a w erze agentowej AI czas reakcji staje się równie istotny jak jakość detekcji.
Źródła
- Microsoft Security Blog — AI-driven, large-scale nation-state campaign using ARTEX enables supply chain compromise — https://www.microsoft.com/en-us/security/blog/2026/10/21/storm-0940-uses-artex-agentic-ai-connectwise-supply-chain-compromise/
- Security Affairs — Microsoft Links ConnectWise Breach to China-Linked Group Using AI Pentesting Tool ARTEX — https://securityaffairs.com/201501/apt/microsoft-links-connectwise-breach-to-china-linked-group-using-ai-pentesting-tool-artex.html
- ConnectWise — Security Advisory for ConnectWise Cloud Backup — https://www.connectwise.com/company/trust/advisories