مایکروسافت اعلام کرد که مهاجمان وابسته به چین با استفاده از عامل‌های هوش مصنوعی (AI agents) و اعتبارنامه‌های آسیب‌دیده از اپلیکیشن ConnectWise، بیش از ۲۲۵۰ مستأجر (Tenant) سرویس Microsoft 365 را هدف قرار داده‌اند. این گروه که با نام Storm-0940 شناخته می‌شود، از یک ابزار متن‌باز تست نفوذ مبتنی بر هوش مصنوعی به نام ARTEX برای خودکارسازی حملات استفاده کرده است.
سرعت بالای حملات و استفاده از هوش مصنوعی
طبق یافته‌های مایکروسافت، این مهاجمان توانسته‌اند در برخی موارد، تنها در کمتر از سه ساعت، از مرحله شناسایی هدف به مرحله دستیابی به دسترسی‌های سطح بالا (Privileged access) در محیط‌های ابری برسند. ابزار ARTEX که با زبان Go نوشته شده است، از عامل‌های هوش مصنوعی برای خودکارسازی فرآیندهایی نظیر شناسایی (Reconnaissance)، کشف آسیب‌پذیری‌ها، حملات مبتنی بر اعتبارنامه‌ها (Credential attacks) و سرقت داده‌ها استفاده می‌کند.
جزئیات نفوذ و زنجیره تأمین
این حادثه در پی نفوذ به سیستم‌های ConnectWise رخ داد که منجر به دسترسی غیرمجاز به هویت‌های اپلیکیشن (Application identities) شده بود. مهاجمان با استفاده از این اعتبارنامه‌ها، توانستند از مجوزهایی که مشتریان پیش‌تر به سرویس‌های ConnectWise داده بودند، بدون نیاز به ورود مستقیم کاربر (Interactive login)، سوءاستفاده کنند.
- تکنیک‌های مورد استفاده: علاوه بر هوش مصنوعی، روش‌های سنتی مانند Password Spraying نیز به کار گرفته شده است.
- مقیاس حملات: در بازه زمانی ۱۰ تا ۱۴ اکتبر، بیش از ۱۵۱,۰۰۰ تلاش ناموفق برای ورود به حساب‌ها مشاهده شد، اما تمرکز اصلی مهاجمان بر استفاده از هویت‌های آسیب‌دیده ConnectWise بود.
- تلاش برای ماندگاری: مهاجمان از طریق Microsoft Graph تلاش کردند دسترسی‌های خود را تغییر داده و با اصلاح مجوزها، ماندگاری (Persistence) خود را در محیط‌های هدف تضمین کنند.
اگرچه بسیاری از تلاش‌ها با شکست مواجه شده است، اما مایکروسافت هشدار داده که در چندین سازمان، مهاجمان موفق به ایجاد دسترسی‌های سطح بالا شده‌اند. این حملات نشان‌دهنده یک تغییر استراتژیک در استفاده از هوش مصنوعی برای افزایش سرعت و دقت حملات سایبری در سطح جهانی است.
به‌روزرسانی (اکتبر 22, 2026 — therecord.media)
به‌روزرسانی: مایکروسافت در گزارش جدید خود، عامل تهدید (Threat Actor) Storm-0940 را که با دولت چین همسو است، مسئول حملات زنجیره تأمین (Supply Chain Attack) علیه شرکت ConnectWise معرفی کرد. این گروه از یک چارچوب تست نفوذ مبتنی بر هوش مصنوعی به نام ARTEX استفاده کرده است تا سرعت نفوذ به زیرساخت‌های ابری سازمان‌ها را به شدت افزایش دهد.
بر اساس یافته‌ها، این حملات به‌طور مشخص سرویس ConnectWise Cloud Backup را هدف قرار داده‌اند تا از طریق اعتبارنامه‌های سرقت شده، به محیط‌های Microsoft 365 دسترسی پیدا کنند. حجم این حملات به قدری بالا بوده که در برخی لحظات، ۲۹۰۰ تلاش برای ورود (Sign-in attempts) در هر دقیقه ثبت شده است که شناسایی و پاسخ به آن را برای تیم‌های دفاعی انسانی تقریباً غیرممکن می‌کند.
علاوه بر مؤسسات مالی، صنایع استراتژیک از جمله هوافضا (Aerospace)، دفاعی (Defense) و انرژی نیز در معرض این حملات بوده‌اند. همچنین مشخص شد که توسعه‌دهنده ابزار ARTEX، مهندسی به نام Li Puhua، پس از گزارش سوءاستفاده‌های گسترده از این ابزار، پروژه را از حالت Open-source خارج کرده و آن را به Closed-source تبدیل نموده است.
به‌روزرسانی (اکتبر 23, 2026 — databreachtoday.com)
به‌روزرسانی: تحقیقات جدید نشان می‌دهد که این حملات توسط عامل‌های تهدید (Threat Actors) وابسته به چین انجام شده است. ابزار مورد استفاده، یک فریم‌ورک متن‌باز مدل زبانی بزرگ (LLM) به نام Artex است که به عامل‌های هوش مصنوعی (AI Agents) اجازه می‌دهد فرآیندهای تهاجمی از شناسایی (Reconnaissance) تا استخراج داده (Data Exfiltration) را به صورت خودکار مدیریت کنند.
همچنین جزئیات جدیدی از کمپین Password Spraying در بازه ۱۰ تا ۱۴ اکتبر منتشر شده است که شامل بیش از ۱۵۰,۰۰۰ تلاش ناموفق برای ورود به سیستم بود. این حملات با سرعت بسیار بالایی (تا ۳,۰۰۰ تلاش در دقیقه) انجام شده‌اند که زمان واکنش (Response Time) تیم‌های امنیتی را به شدت محدود می‌کند.
به‌روزرسانی (اکتبر 23, 2026 — Security Affairs)
به‌روزرسانی: مشخص شده است که گروه Storm-0940 با دولت چین مرتبط است و هدف اصلی این حمله، سرویس ConnectWise Cloud Backup بوده است. علاوه بر این، ابزار ARTEX که در این عملیات استفاده شده، یک چارچوب (Framework) تست نفوذ مبتنی بر هوش مصنوعی و متن‌باز (Open-source) است.
