Agent AI zhakował 2250 tenantów Microsoft 365

Ataki cybernetyczne napędzane przez sztuczną inteligencję przestały być scenariuszem z raportów futurystycznych. Microsoft ujawnił właśnie szczegóły kampanii, w której grupa powiązana z chińskim państwem wykorzystała dostępne komercyjnie narzędzie agentowe AI do zautomatyzowania włamań do ponad 2250 środowisk chmurowych Microsoft 365. Kluczowy szczegół: uwierzytelnianie wieloskładnikowe (MFA) w tym przypadku w ogóle nie miało zastosowania.

To pierwszy potwierdzony przypadek, w którym aktor państwowy włączył komercyjny framework agentowy do aktywnego ataku na łańcuch dostaw, wymierzonego w infrastrukturę dostawców usług zarządzanych (MSP). W kilku organizacjach droga od pierwszego rozpoznania do uzyskania uprzywilejowanego dostępu zajęła mniej niż trzy godziny.

Czym jest ARTEX i dlaczego zmienia reguły gry

ARTEX to otwartoźródłowy framework do autonomicznych testów penetracyjnych, opracowany w Chinach przez projekt Autumn-27. Zanim trafił do publicznego obiegu, zdobył nagrodę w konkursie Agent+ organizowanym przez Baidu. Dziś uchodzi za jedno z najbardziej zaawansowanych narzędzi w kategorii agentowego bezpieczeństwa.

Architektura opiera się na modelu dwugrafowym z wieloma agentami. Agent planujący utrzymuje wspólną listę zadań i rozbija złożone cele na sekwencje działań — bez ryzyka konfliktów, gdy równolegle pracuje kilka jednostek. Agenci wykonawczy realizują poszczególne kroki: rozpoznanie, testowanie poświadczeń, eskalację uprawnień. Mogą też zaglądać do historii działań innych agentów, co eliminuje powielanie pracy. Globalny graf zasobów gromadzi odkryte cele, dane logowania i luki, tworząc stale aktualizującą się mapę powierzchni ataku.

Framework napisano w Go, z wbudowanym frontendem Next.js i bazą PostgreSQL. Współpracuje z dowolnym backendem LLM zgodnym z API OpenAI i obsługuje pięć języków naturalnych: angielski, koreański, mandaryński, hiszpański i japoński. Twórca zamknął później kod źródłowy, ale — jak zauważyła Cloud Security Alliance — istniejące kopie i forki pozostają w obiegu. Zamknięcie repozytorium nie usuwa tego, co już zostało skopiowane.

Co odróżnia agentowe AI od zwykłego skryptu

Różnica nie sprowadza się wyłącznie do szybkości. Agent AI potrafi kumulować kontekst, dostosowywać się do tego, co ujawni każde środowisko, i równolegle pursuedować wiele ścieżek włamania — bez zmęczenia, ograniczeń czasowych czy ludzkich limitów poznawczych. W kampanii Storm-0940 szczytowe tempo wynosiło 2900 prób na minutę. To tempo, które nie pozostawia obrońcom czasu na wykrycie, analizę i remediację, zanim atakujący utrwali dostęp.

Dlaczego ConnectWise stało się idealnym celem

ConnectWise Cloud Backup — przejęte przez ConnectWise wraz z zakupem SkyKick w 2024 roku — to aplikacja, którą dostawcy MSP chronią dane Microsoft 365 swoich klientów: pocztę w Exchange Online, pliki w SharePoint, rozmowy w Teams. Aby wykonywać kopie zapasowe i przywracać dane, aplikacja potrzebuje szerokiego, trwałego dostępu do każdego tenanta. Ten dostęp przyznaje się jednorazowo, podczas konfiguracji, przez zgodę aplikacji OAuth 2.0.

Wśród przyznanych uprawnień znalazło się Directory.ReadWrite.All — jeden z najwyższych poziomów w modelu uprawnień Microsoftu, obejmujący cały katalog użytkowników, grup i ról. Aplikacja uwierzytelnia się własnym poświadczeniem, a nie hasłem użytkownika. Nie ma więc kogo zapytać o drugi składnik. MFA nie ma tu zastosowania, bo nie istnieje interaktywny użytkownik do zweryfikowania.

Gdy Storm-0940 zdobył poświadczenie aplikacji ConnectWise — Microsoft i ConnectWise nie wyjaśniły publicznie, w jaki sposób doszło do kradzieży — agenci ARTEX wykorzystali je do dostępu do 2250 tenantów klientów końcowych, podszywając się pod aplikację backupową. Florian Roth z Nextron Systems ujął to zwięźle: jedno przejęte poświadczenie aplikacji OAuth z wysokimi uprawnieniami może dać atakującym dostęp do poczty, plików i danych katalogowych w setkach środowisk Microsoft 365.

Przebieg ataku w dwóch fazach

Faza pierwsza: password spray (10–14 października)

Między 10 a 14 października 2026 roku infrastruktura Storm-0940 pod adresem IP 144.172.64[.]99 prowadziła zautomatyzowaną kampanię password spray wymierzoną w 327 kont w ośmiu organizacjach. Telemetria Microsoftu odnotowała ponad 151 tysięcy nieudanych prób logowania, ze szczytem 11 października — 2900 niepowodzeń na minutę i ponad 111 tysięcy w ciągu jednego dnia. Czterdzieści osiem kont otrzymało po ponad tysiąc prób. Mimo skali, w tej fazie nie zarejestrowano udanego uwierzytelnienia.

Faza druga: pivot przez łańcuch dostaw (od 15 października)

Gdy kampania password spray wygasała, obraz się zmienił. Z tego samego zakresu sieciowego agenci ARTEX zaczęli uwierzytelniać się w tenantach klientów końcowych, używając skradzionego poświadczenia aplikacji ConnectWise. Huntress potwierdził, że między 06:13 a 08:34 UTC 15 października atakujący przechodził przez tenanty w posortowanej kolejności, żądając tokenów Microsoft Graph w odstępach kilku sekund — wzorzec charakterystyczny dla skryptowej listy celów, nie dla człowieka.

W około 50 tenantach doszło do przejęcia ról katalogowych przez jednostki usługowe ConnectWise, które samodzielnie przypisały sobie uprawnienia — głównie Exchange Administrator — bez żadnej legalnej akcji administracyjnej. W co najmniej jednym potwierdzonym środowisku aplikacja ConnectWise Cloud Management dla Teams nadała sobie rolę Global Administrator, a następnie zainstalowała backdoory ważne do 2028 roku: dodała sekrety klienta do dwóch innych aplikacji enterprise, w tym do platformy bezpieczeństwa samego Huntress.

Huntress potwierdził ostatecznie 300 tenantów z nieautoryzowanym dostępem spośród blisko tysiąca, które wykazywały aktywność z adresów IP atakującego. Zidentyfikowano też drugą, bardziej ukierunkowaną falę prób przeciwko 16 tenantom z sektora bezpieczeństwa narodowego — w obszarach polityki, handlu i minerałów krytycznych. Większość z tych prób nie powiodła się, ponieważ aplikacja ConnectWise nie była w tych środowiskach zainstalowana.

ConnectWise opublikowało wstępny alert 16 października, a 17 października do godziny 07:00 UTC zawiesiło wszystkie dotknięte usługi — wyłączając siedem tożsamości aplikacji i wstrzymując Cloud Backup, SaaS Security oraz Cloud Management. W momencie publikacji artykułu usługi pozostawały zawieszone.

Łańcuchy zaufania MSP jako główna powierzchnia ataku

Wniosek strukturalny z tej kampanii wykracza poza ConnectWise i poza Storm-0940. Dostawcy usług zarządzanych zajmują uprzywilejowaną pozycję architektoniczną w IT przedsiębiorstw. Ich narzędzia — oprogramowanie do zdalnego monitorowania i zarządzania, aplikacje backupowe, platformy zarządzania tożsamością — wymagają szerokich uprawnień na poziomie aplikacji. Uprawnienia te przyznaje się przy wdrożeniu i pozostają w miejscu po cichu, często przez lata, nawet gdy narzędzie nie jest już używane.

Atak ransomware grupy REvil z 2021 roku na Kaseya i jej klientów pokazał tę samą słabość strukturalną na dużą skalę: jedno przejęte narzędzie MSP stało się punktem wejścia dla około tysiąca organizacji w ciągu godzin. Kampania Storm-0940 dokłada do tego nową zmienną ekonomiczną. Przed agentowym AI wykorzystanie poświadczenia w łańcuchu dostaw MSP nadal wymagało procesu w ludzkim tempie: identyfikacji celów, priorytetyzacji tenantów, rozpoznania i utrwalania dostępu środowisko po środowisku. Przy 2900 próbach na minutę agenci ARTEX mogli przejść przez setki tenantów, zanim obrońca otworzył pierwszy alert. Stosunek wysiłku atakującego do jego zasięgu zmienił się fundamentalnie.

Adam Meyers z CrowdStrike, komentując kilka tygodni wcześniej ataki na koreańskie banki, stwierdził wprost: ARTEX pokazuje, jak przeciwnicy operacjonalizują agentowe AI, by działać szybciej i przeprowadzać wiele włamań w krótkim czasie. Agencje Five Eyes w czerwcowym raporcie ostrzegały, że modele frontier mają szanse przekroczyć obecne oczekiwania branży i fundamentalnie zmienić zarówno ofensywne, jak i defensywne zdolności cybernetyczne — a horyzont czasowy to nie lata, lecz miesiące. Kampania Storm-0940 przeciwko ConnectWise jest praktyczną ilustracją tej transformacji.

Co powinni zrobić obrońcy — natychmiast i długoterminowo

Microsoft i Huntress rekomendują sekwencję działań dla organizacji, które korzystają lub kiedykolwiek korzystały z ConnectWise Cloud Backup.

Natychmiastowe ograniczenie: utrzymuj wszystkie połączenia aplikacji ConnectWise wyłączone do czasu wydania formalnych wytycznych przywracania. Nie usuwaj aplikacji enterprise jako pierwszej reakcji — zniszczy to dowody kryminalistyczne, zanim śledczy ustalą, co się wydarzyło w środowisku.
Przegląd logów: analizuj logi logowania jednostek usługowych co najmniej od 15 października, a gdzie to możliwe — od 1 października. Szukaj adresów IP infrastruktury atakującego: 144.172.64[.]60, 144.172.64[.]99 i 144.172.64[.]128. Flaguj ciągi user-agent: Python-urllib/3.12, python-requests/2.31.0, python-requests/2.34.2, curl/7.88.1 oraz azure-toolkit/1.0.
Audyt katalogu: sprawdź logi audytu Microsoft Entra pod kątem dodawania poświadczeń do jednostek usługowych, nowych przypisań ról, samodzielnie nadanych uprawnień administratora oraz zmian w użytkownikach, grupach i zasadach dostępu warunkowego. Poświadczenia z datą wygaśnięcia w 2028 roku przetrwają unieważnienie aplikacji — wyłączenie połączenia ConnectWise nie odwołuje automatycznie sekretów dodanych do innych aplikacji w tenancie.

Cztery identyfikatory aplikacji ConnectWise do wyszukania w Microsoft Entra: ConnectWise Cloud Backup (506e08f9-6e9a-4da4-942b-a099a03644ae), ConnectWise – MS Teams (24205314-2b89-4e07-a2a4-579e898a5640), ConnectWise – MS Graph (0de14c77-b9b0-4137-9360-34878a929827) oraz SkyKick Partner Portal (c921256f-04a7-44e8-9b2a-69c33929ba19). Starsze tenanty mogą wymieniać je pod nazwą SkyKick Cloud Manager.

W dłuższej perspektywie kluczowe jest stosowanie zasady najmniejszych uprawnień do wszystkich wielodostępnych uprawnień aplikacji i zgód OAuth. Aplikacja, która nie potrzebuje Directory.ReadWrite.All, nie powinna go mieć. Należy monitorować dodawanie poświadczeń i nietypową aktywność aplikacji — szczególnie tych z wysokimi zakresami uprawnień. Jak zaznacza Microsoft, sama obecność aplikacji ConnectWise, a nawet udane logowanie, nie potwierdzają jeszcze dostępu do danych klienta — każde środowisko trzeba ocenić indywidualnie.

Microsoft udostępnił też Security Dashboard for AI pod adresem ai.security.microsoft.com — narzędzie pomagające organizacjom zidentyfikować zasoby AI w środowisku, rozpoznawać wzorce ryzyka i zarządzać agentami oraz platformami AI. W kontekście kampanii takich jak ta jego znaczenie wyraźnie rośnie.

Jak agentowe AI zmienia tempo cyberataków

Obrońcy korzystający z ciągłego monitoringu i zautomatyzowanych playbooków reagowania zobaczą w telemetrii wyraźnie inny wzorzec niż w poprzednich kampaniach: bardzo dużą liczbę zdarzeń logowania w bardzo krótkim oknie, rozłożoną jednocześnie na wiele tenantów. Tak wyglądają ataki napędzane przez ARTEX. Sygnatury detekcji opublikowane przez Microsoft dla Defender XDR i Microsoft Sentinel zostały zaprojektowane właśnie po to, by ten wzorzec wychwycić.

Organizacje, które nie wdrożyły jeszcze automatycznego wykrywania zagrożeń z reakcją w skali poniżej minuty, powinny potraktować tę kampanię jako punkt zwrotny. Ataki z agentowym AI nie robią przerw między celami. Obrońca przeglądający poranne alerty o dziewiątej może już odpowiadać na utrwalony dostęp, który powstał o trzeciej nad ranem.

Storm-0940 działa co najmniej od 2021 roku i jest powiązana z chińskim państwem. Jej cele obejmowały dotąd organizacje głównie w Ameryce Północnej i Europie — sektory lotniczy i obronny, motoryzacyjny, chemiczny, energetyczny, finansowy, rządowy, prawniczy, produkcyjny, medialny, wojskowy, półprzewodników, oprogramowania i think tanków. Wzorce targetowania wskazują na cele wywiadowcze na dużą skalę, a nie na motywację finansową. Microsoft zauważa, że ARTEX jest już wykorzystywany przez aktorów w różnych regionach geograficznych — nie tylko przez Storm-0940. Kampanie na koreańskie banki i na ConnectWise to wczesne przykłady szerszego trendu, nie odosobnione incydenty.