گزارش‌های اخیر مایکروسافت نشان می‌دهد که یک عامل تهدید (Threat Actor) مرتبط با چین، از فریم‌ورک متن‌باز تست نفوذ مبتنی بر هوش مصنوعی Artex برای خودکارسازی حملات اخیر خود علیه مشتریان ConnectWise استفاده کرده است. این کمپین که صدها سازمان را هدف قرار داده، نشان‌دهنده تغییر رویکرد در سرعت و مقیاس حملات APT است.
جزئیات عملیات Storm-0940
گروه Storm-0940 که از سال ۲۰۲۱ فعال است، به استفاده از تکنیک‌های Password Spraying و اکسپلویت کردن (Exploit) اپلیکیشن‌های آسیب‌پذیر در معرض اینترنت شهرت دارد. در حملات اخیر، این گروه از Artex برای تسریع فرآیندهای شناسایی (Reconnaissance)، Password Spraying و سوءاستفاده از پروتکل OAuth استفاده کرده است.
- سرعت بسیار بالا: این گروه توانسته است بیش از ۲۹۰۰ تلاش در دقیقه را در ۸ سازمان مختلف انجام دهد.
- هدف قرار دادن محیط‌های ابری: مهاجمان با استفاده از اعتبارنامه‌های (Credentials) آسیب‌پذیر ConnectWise، به بیش از ۳۰۰ مستأجر (Tenant) در Microsoft 365 و Entra دسترسی پیدا کردند.
- تثبیت حضور (Persistence): مهاجمان با تغییر اعتبارنامه‌های اپلیکیشن، دسترسی خود را حتی پس از رفع آسیب‌پذیری اولیه، حفظ کردند.
بخش‌های تحت تأثیر
این حملات طیف گسترده‌ای از صنایع را شامل شده است، از جمله:
- دفاعی و نظامی (Defense & Military)
- خدمات مالی (Financial Services)
- هوافضا و خودروسازی (Aerospace & Automotive)
- انرژی و صنایع شیمیایی (Energy & Chemicals)
- بخش‌های دولتی و حقوقی (Government & Legal)
توصیه‌های امنیتی برای مدیران SOC و CISO
سازمان‌ها باید فعالیت‌های مربوط به ورود (Sign-in) سرویس‌پرینسیپال‌ها (Service Principals) را در کنار فعالیت‌های Microsoft Graph بررسی کنند. همبستگی میان رویدادهای مشکوک و فعالیت‌های مدیریتی مجاز برای شناسایی تغییرات غیرمجاز در هویت‌ها، گروه‌ها و نقش‌های حساس (Privileged Roles) ضروری است.
به‌روزرسانی (اکتبر 23, 2026 — msspalert.com)
به‌روزرسانی: گزارش‌های جدید نشان می‌دهند که گروه Storm-0940 به‌طور مشخص کاربران ConnectWise Cloud Backup را هدف قرار داده است. این حملات با استفاده از ابزار هوش مصنوعی (AI-driven framework) موسوم به ARTEX، سرعت بسیار بالایی داشتند؛ به‌طوری که مهاجمان قادر بودند حدود ۲,۹۰۰ تلاش برای ورود (sign-in attempts) را در هر دقیقه انجام دهند.
برای مهار این نفوذ، شرکت ConnectWise در تاریخ ۱۷ اکتبر خدمات خود را به حالت تعلیق درآورد. همچنین مشخص شده است که عاملان تهدید (threat actors) برای حفظ دسترسی خود (persistence) از روش تغییر اعتبارنامه‌های اپلیکیشن‌های OAuth استفاده کرده‌اند که می‌تواند منجر به ایجاد درهای پشتی (backdoors) در محیط‌های مشتریان شود.
