Storm-0940 использовал ARTEX для разведки облачной инфраструктуры

Storm-0940, злоумышленник, связанный с государством Китая и активный с 2021 года, провёл крупномасштабную кампанию против организаций аэрокосмической, оборонной, финансовой, государственной, производственной и технологической отраслей. Начиная с сентября 2026 года он использовал ARTEX, открытый фреймворк для многоагентного тестирования на проникновение на базе больших языковых моделей, чтобы автоматизировать разведку, поиск уязвимостей, распыление паролей, картирование облачной инфраструктуры и эксфильтрацию данных. Кампания охватила сотни организаций. В нескольких случаях злоумышленники получили привилегированный доступ к облачной инфраструктуре менее чем за три часа.

Доступ к Microsoft 365 и облачным приложениям

Storm-0940 использовал скомпрометированные идентификаторы OAuth-приложений для входа в среды Microsoft 365 без интерактивной аутентификации пользователя. Затем он проводил разведку через Microsoft Graph: перечислял элементы каталога, разрешения и согласия, а также пытался менять учётные данные приложений, выданные согласия, владельцев, назначения ролей приложений и привилегии. Такие изменения могли обеспечить закрепление через служебные субъекты, альтернативные учётные данные и другие облачные идентификаторы.

Сам факт аутентификации или наличия приложения не подтверждал доступ к данным либо их эксфильтрацию. Деятельность Storm-0940 также связывают с компрометацией облачного приложения ConnectWise для резервного копирования и последующим доступом к арендаторам клиентов.

Распыление паролей и действия защитников

С 10 по 14 октября инфраструктура, связанная с Storm-0940, включая IP-адрес 144.172.64.99, проводила атаки методом распыления паролей против 327 учётных записей в восьми организациях. Microsoft зафиксировала более 151 000 неудачных попыток входа, а пиковая активность достигала примерно 2900 попыток в минуту. В рамках этой кампании не зафиксировали успешной аутентификации, выпуска токенов, активности в Microsoft Graph или изменений в каталоге.

По сообщениям, после компрометации ConnectWise ARTEX ускорил попытки получить доступ к более чем 2250 арендаторам с аналогичной интенсивностью. Это существенно сократило время реакции защитников. С действиями связаны техники MITRE ATT&CK «Активное сканирование» (T1595), «Компрометация цепочки поставок» (T1195), «Изучение облачной инфраструктуры» (T1580), а также использование скомпрометированных облачных учётных записей.

Авторы отчёта рекомендуют проверять:

• входы через служебные учётные записи;
• разрешения OAuth-приложений;
• изменения учётных данных и привилегий;
• активность в Microsoft Graph;
• необычный доступ к электронной почте или файлам;
• аутентификацию с непредвиденной инфраструктуры.

При расследовании авторы рекомендуют:

• сохранять доказательства из журналов аудита и систем управления информацией и событиями безопасности (SIEM);
• сопоставлять активность с санкционированными административными изменениями;
• отключать затронутые интеграции;
• отзывать несанкционированные разрешения и учётные данные;
• ротировать скомпрометированные секреты после сбора доказательств.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.