محققان مایکروسافت (Microsoft) حمله زنجیره تأمین (Supply-chain attack) اخیر که محیط‌های Microsoft 365 مشتریان ConnectWise را هدف قرار داده بود، به یک عامل تهدید (Threat actor) مرتبط با دولت چین با نام Storm-0940 نسبت دادند. مایکروسافت اعلام کرد که این گروه از چارچوب تست نفوذ مبتنی بر هوش مصنوعی (AI) به نام ARTEX برای خودکارسازی حملات علیه صدها سازمان در صنایع مختلف استفاده کرده است.
استفاده از هوش مصنوعی در حملات خودکار
این گروه که از سال ۲۰۲۱ فعال است، سازمان‌هایی در حوزه‌های صنایع دفاعی، هوافضا، انرژی، خدمات مالی، دولتی، فناوری و غیره را هدف قرار داده است. مایکروسافت گزارش داد که Storm-0940 از چارچوب ARTEX برای تسریع در فرآیند اسکن، اجرای حملات Password-spraying و سوءاستفاده از برنامه‌های OAuth در محیط‌های قربانی استفاده کرده است.
ARTEX یک سیستم مبتنی بر مدل‌های زبانی بزرگ (LLM) است که می‌تواند فرآیندهای تهاجمی امنیتی را از مرحله شناسایی (Reconnaissance) تا استخراج داده (Data exfiltration) با کمترین نیاز به دخالت انسانی انجام دهد. در این کمپین، عاملان توانستند با نرخ ۲,۹۰۰ تلاش برای ورود در هر دقیقه، بیش از ۲,۲۵۰ مستأجر (Tenant) را هدف قرار دهند که این سرعت بالا، زمان بسیار کمی برای شناسایی و پاسخگویی به تیم‌های دفاعی باقی می‌گذارد.
تکنیک‌های ایجاد ماندگاری و دسترسی
محققان مشاهده کردند که هوش مصنوعی به‌کار رفته، فراتر از مرحله احراز هویت (Authentication)، به عملیات‌های مربوط به Microsoft Graph و مدیریت دایرکتوری (Directory operations) دسترسی یافته است. این فعالیت‌ها شامل موارد زیر بوده است:
- شناسایی (Reconnaissance) زیرساخت‌ها
- تغییر اعتبارنامه‌های اپلیکیشن برای ایجاد ماندگاری (Persistence)
- تغییر در هویت‌ها، گروه‌ها و نقش‌های سطح بالا (Privileged roles)
این اقدامات نشان می‌دهد که چگونه یک اپلیکیشن ثالثِ دارای دسترسی بالا، می‌تواند فراتر از هدف اصلی خود، دسترسی‌های گسترده‌ای به محیط‌های هدف ایجاد کند. شرکت ConnectWise نیز اعلام کرده است که فرآیند بازیابی سرویس‌های خود را پس از این حملات آغاز کرده است.
به‌روزرسانی (اکتبر 22, 2026 — The Hacker News)
به‌روزرسانی: جزئیات جدید نشان می‌دهد که عامل تهدید (threat actor) Storm-0940 برای خودکارسازی حملات خود از یک چارچوب هوش مصنوعی عامل‌محور (agentic AI framework) به نام ARTEX استفاده کرده است. این ابزار برای تسریع در فرآیندهای شناسایی (reconnaissance) و حملات Password Spraying به کار گرفته شده است.
هدف این حملات به‌طور مشخص اپلیکیشن ConnectWise Cloud Backup بوده است. مهاجمان با استفاده از این ابزار، توانسته‌اند با سرعت بسیار بالای ۲,۹۰۰ تلاش برای ورود (sign-in attempts) در هر دقیقه، بیش از ۲,۲۵۰ مستأجر (tenant) را هدف قرار دهند.
این نفوذ به مهاجمان اجازه داده است تا کنترل هویت‌های (identities) چندین اپلیکیشن ابری ConnectWise را به دست بگیرند، که این امر امکان فعالیت‌های خودکار و ایجاد دسترسی‌های مستمر در محیط‌های هدف را فراهم می‌کند.
