Автоматизация зла: роль ARTEX
Группировка Storm-0940, связанная с государством Китая, применила открытый фреймворк для пентеста ARTEX (Agentic AI Penetration Testing Framework). Этот инструмент на базе больших языковых моделей (LLM) позволил хакерам автоматизировать разведку, подбор паролей (password spraying) и злоупотребление OAuth-приложениями. Ключевая угроза заключается в автономности агентов: они работают круглосуточно с минимальным участием человека, что оставляет защитникам критически мало времени на реакцию.
Масштаб и скорость атаки
Инцидент затронул инфраструктуру Microsoft 365. Злоумышленники использовали украденные учетные данные приложений ConnectWise для входа в системы клиентов без интерактивного участия пользователя. Атака отличалась высокой скоростью: в некоторых случаях привилегированный доступ достигался менее чем за 3 часа после первоначального нацеливания. Агенты сканировали арендаторов (tenants) в упорядоченном режиме с интервалом в несколько секунд, что указывает на использование скриптов.
Статистика и метрики
Масштаб операции демонстрирует агрессивную тактику автоматизированного перебора. Ниже приведены ключевые цифры, зафиксированные Microsoft и сторонними исследователями:
| Метрика | Значение | Примечание |
|---|---|---|
| Целевые арендаторы Microsoft 365 | > 2 250 | Попытки входа через украденные учетные данные приложений |
| Успешные несанкционированные входы | > 300 | Подтверждено к 17 октября (всего затронуто ~1000 арендаторов) |
| Попытки password spraying | > 151 000 | За день пика (11 октября), 327 аккаунтов, 8 организаций |
| Пиковая нагрузка | 2 900 попыток/мин | 98% попыток заблокированы системой, но объем атаки огромен |
| Скорость компрометации | < 3 часов | Время от нацеливания до получения привилегированного доступа |
Последствия и уязвимости
В одном из инцидентов 15 октября хакеры добавили вредоносное приложение в роль Global Administrator и установили новые секреты с сроком действия до 2028 года. Атака затронула такие отрасли, как аэрокосмическая промышленность, оборонный сектор, полупроводники и государственные учреждения. Важно отметить, что уязвимость была не в продуктах Microsoft, а в компрометации учетных данных стороннего приложения ConnectWise.
Реакция и контекст
ConnectWise приостановила работу сервисов Cloud Backup (SkyKick), SaaS Security и Cloud Management. Разработчик ARTEX, известный как "Autumn-27", объявил о закрытии проекта и переходе к проприетарной модели после того, как фреймворк был замечен в атаках на финансовые учреждения Южной Кореи. Microsoft рекомендует клиентам отключить затронутые подключения приложений до официального восстановления сервисов.
Источник: Tom's Hardware ↗