Storm-0940 و ARTEX؛ مایکروسافت حمله به ConnectWise را به عامل‌های هوش مصنوعی گروهی همسو با چین نسبت داد
مایکروسافت حمله به ConnectWise را به Storm-0940 و ابزار ARTEX نسبت داد؛ بیش از ۲٬۲۵۰ مستأجر هدف تلاش ورود بودند، اما بیشتر تلاش‌ها ناموفق گزارش شده است.
تصویر: Getty Images، از طریق تک‌کرانچ (تصویر نمادین)
مایکروسافت در گزارشی به تاریخ ۲۱ اکتبر ۲۰۲۶ نفوذ به برنامههای ابری ConnectWise را به گروهی با نام Storm-0940 نسبت داده که آن را «همسو با دولت چین» توصیف کرده است. به گفته مایکروسافت، این گروه با چارچوب متنباز ARTEX که چند عامل هوش مصنوعی را هماهنگ میکند، به بیش از ۲٬۲۵۰ مستأجر Microsoft 365 تلاش ورود زده است؛ اما بیشتر این تلاش‌ها ناموفق بوده است.
در این خبر فناوری می‌خوانید
در یک نگاه
- مایکروسافت (گزارش ۲۱ اکتبر ۲۰۲۶): تلاش ورود به بیش از ۲٬۲۵۰ مستأجر پس از دسترسی به هویت‌های برنامه‌ای ConnectWise؛ «بیشتر هدف‌گیری‌ها ناموفق بود».
- اوج نرخ شکست ورود در موج پاشش گذرواژه: ۲٬۹۰۰ بار در دقیقه، ۱۱ اکتبر ۲۰۲۶؛ بیش از ۱۵۱٬۰۰۰ ورود ناموفق علیه ۳۲۷ حساب در هشت سازمان بین ۱۰ تا ۱۴ اکتبر (داده‌های مایکروسافت).
- در چند مورد، فاصله هدف‌گیری تا دسترسی ممتاز کمتر از ۳ ساعت بوده است (مایکروسافت).
- مایکروسافت تأکید میکند این رخداد ناشی از نفوذ یا آسیبپذیری در سامانهها یا محصولات خودش نبوده است.
مسئله اصلی: حمله زنجیره تأمین چگونه با عامل‌های هوش مصنوعی سرعت گرفت؟
پیش‌تر رونما از تعلیق سرویس Cloud Backup شرکت ConnectWise و دسترسی غیرمجاز به محیط‌های Microsoft 365 گزارش داده بود. تحول تازه، نسبتدادن رسمی‌تر حمله به یک بازیگر مشخص و توصیف ابزار مورد استفاده اوست. پرسش این تحلیل آن است که ترکیب اعتبارنامه‌های برنامه‌ای در اختیار مهاجم و خودکارسازی با عامل‌های هوش مصنوعی چه چیزی را درباره زمان واکنش مدافعان تغییر می‌دهد.
پیشینه و تاریخچه: از پاشش گذرواژه تا هویت برنامه‌ای
مایکروسافت میگوید Storm-0940 از سال ۲۰۲۱ فعال است، نام مستعار شناخته‌شده‌ای ندارد و پیش‌تر از پاشش گذرواژه و بهره‌برداری از برنامههای متصل به اینترنت برای نفوذ اولیه، و از افزودن اعتبارنامه به برنامههای OAuth موجود برای ماندگاری استفاده کرده است. مایکروسافت همچنین می‌نویسد فعالیت مبتنی بر ARTEX «از سپتامبر ۲۰۲۶» آغاز شده است. روش دقیق به‌دست‌آوردن اعتبارنامه‌های برنامههای ConnectWise در بخش خوانده‌شده گزارش مایکروسافت توضیح داده نشده است.
- سپتامبر ۲۰۲۶طبق مایکروسافت، فعالیت Storm-0940 با ARTEX از همین زمان آغاز می‌شود.
- ۱۰ تا ۱۴ اکتبر ۲۰۲۶پاشش گذرواژه بین‌مستأجری از نشانی ۱۴۴٫۱۷۲٫۶۴٫۹۹: بیش از ۱۵۱٬۰۰۰ ورود ناموفق علیه ۳۲۷ حساب در هشت سازمان؛ در این موج مایکروسافت ورود موفق، صدور توکن یا تغییر دایرکتوری مشاهده نکرده است.
- ۱۱ اکتبر ۲۰۲۶اوج نرخ شکست ورود: ۲٬۹۰۰ بار در دقیقه.
- ۱۵ اکتبر ۲۰۲۶مایکروسافت میگوید گزارش‌های عمومی درباره رخداد Cloud Backup شرکت ConnectWise منتشر شد.
- ۱۶ اکتبر ۲۰۲۶مایکروسافت از «اطلاعیه اولیه» ConnectWise در همین تاریخ یاد میکند. متن این اطلاعیه در این اجرا خوانده نشد.
- ۱۷ اکتبر ۲۰۲۶گزارش BleepingComputer، که پیش‌تر در مطلب رونما آمد، از دست‌کم ۱۶۲ مستأجر آسیب‌دیده در محیط‌های تحت پایش Huntress خبر داد.
- ۲۱ اکتبر ۲۰۲۶انتشار گزارش مایکروسافت با نسبتدادن رخداد به Storm-0940.
- ۲۲ اکتبر ۲۰۲۶گزارش تک‌کرانچ: ConnectWise دسترسی به سامانه پشتیبان‌گیری ابری را متوقف کرده، تحقیق ادامه دارد و شرکت گفته در حال بازگرداندن سرویس است.
ARTEX چیست؟
مایکروسافت ARTEX را چارچوب نفوذآزمایی متنباز و «چندعاملی مبتنی بر مدل زبانی» توصیف میکند که با هر مدل هوش مصنوعی کار میکند و گردش‌کارهای تهاجمی را از شناسایی تا استخراج داده خودکار میکند. تک‌کرانچ می‌نویسد همین ابزار در نفوذ اخیر به نظام مالی کره جنوبی هم به کار رفته و به گزارشی از CrowdStrike ارجاع می‌دهد؛ این پیوند در این اجرا خوانده نشد. ابزارهای نفوذآزمایی دوکاربردی‌اند و استفاده تهاجمی از آن‌ها به معنی مجرمانه‌بودن خود ابزار نیست.
بازار و سهام: واکنش بازار تأییدنشده است
در این اجرا از منبع خوانده‌شده، قیمت یا درصد تغییری برای سهام مایکروسافت (MSFT) پس از این گزارش به دست نیامد و واکنش بازار تأییدنشده است؛ بنابراین عددی ارائه نمی‌شود. پیامد بازاری مستقیم گزارش نشده است. برای دنبال‌کردن بازارهای جهانی می‌توانید به نقشه بازار رونما و در صورت ربط به سهام به بخش سهام مراجعه کنید.
تأثیر و راهکارها
تأثیر فنی روشن‌تر از تأثیر اقتصادی است. اگر مهاجم هویت یک برنامه چندمستأجری را در اختیار بگیرد، به‌جای فریب کارکنان هر سازمان، با یک اعتبارنامه سراغ هزاران محیط می‌رود. مایکروسافت میگوید حضور برنامه آسیب‌دیده یا ورود موفق لزوماً به معنی دسترسی یا استخراج داده مشتری نیست؛ بنابراین ارزیابی باید بر شواهد هر مستأجر استوار باشد. مایکروسافت بخش‌های هدف را شامل هوافضا و دفاع، خودرو، شیمی، انرژی، خدمات مالی، دولت، نیمه‌هادی، نرم‌افزار و فناوری فهرست کرده، اما شمار قربانیان موفق را اعلام نکرده است. اثر مستقیم و مستند بر کاربران ایرانی در منابع خوانده‌شده دیده نشد.
| سنجه | عدد | منبع و دامنه |
|---|---|---|
| مستأجرهای مورد تلاش ورود | بیش از ۲٬۲۵۰ | مایکروسافت؛ تلاش ورود، نه نفوذ موفق |
| ورود ناموفق در موج پاشش گذرواژه | بیش از ۱۵۱٬۰۰۰ | مایکروسافت، ۱۰ تا ۱۴ اکتبر ۲۰۲۶ |
| حساب‌های هدف در آن موج | ۳۲۷ حساب در ۸ سازمان | مایکروسافت |
| اوج نرخ شکست ورود | ۲٬۹۰۰ در دقیقه | مایکروسافت، ۱۱ اکتبر ۲۰۲۶ |
| مستأجر آسیب‌دیده در محیط‌های تحت پایش | دست‌کم ۱۶۲ | Huntress به نقل از BleepingComputer؛ عدد کل جهان نیست |
راهکارها و توصیه‌های عملی
الف) توسعه‌دهندگان، مهندسان و مدیران فنی. مایکروسافت توصیه میکند اتصال برنامههای آسیب‌دیده ConnectWise تا اعلام رسمی روش بازگردانی از سوی شرکت غیرفعال بماند، سرویسپرینسپالها بر اساس شناسه برنامه (نه نام نمایشی) فهرست شوند، سوابق ورود Entra و Purview حفظ شود، ورودهای موفق و ناموفق هویت‌های برنامه‌ای جدا بررسی شود و افزودن اعتبارنامه، اعطای نقش و رضایت‌های OAuth مرور گردد. پیش از حذف برنامه سازمانی، پیکربندی و شواهد باید ذخیره شود. اصل کمترین دسترسی برای برنامههای چندمستأجری هم توصیه شده است.
ب) سرمایه‌گذاران و فعالان بازار. این بخش توصیه خرید یا فروش نیست. موارد قابل رصد: اطلاعیه رسمی ConnectWise درباره بازگشت سرویس و دامنه آسیب، به‌روزرسانی‌های بعدی مایکروسافت، و ادامه کاربرد ابزارهای هوش مصنوعی تهاجمی. ریسک‌های قابل تصور شامل افشای قربانیان بیشتر و سخت‌تر شدن الزامات امنیت زنجیره تأمین است؛ هیچ‌یک در منابع خوانده‌شده به عدد بازاری ترجمه نشده است.
ج) کاربران نهایی و کسب‌وکارها. اگر سازمان شما از ConnectWise Cloud Backup استفاده می‌کرده، با مدیر فناوری یا ارائه‌دهنده خدمات خود تماس بگیرید و بپرسید آیا مجوزهای برنامه بازبینی و اعتبارنامهها چرخانده شده‌اند. کاربران عادی اقدام فردی خاصی لازم ندارند، اما احراز هویت چندمرحله‌ای و بازبینی برنامههای متصل به حساب همچنان توصیه عمومی معتبری است.
ضدتحلیل و محدوده قطعیت
قوی‌ترین اعتراض به روایت «حمله هوش مصنوعی‌محور» این است که پاشش گذرواژه و سوءاستفاده از OAuth تاکتیک‌های کهنه‌اند و سرعت بالا به‌تنهایی نشان‌دهنده توانایی تازه نیست. در مقابل، مایکروسافت زمان کمتر از ۳ ساعت تا دسترسی ممتاز را در چند مورد گزارش کرده است. شاخص‌های آینده: اطلاعیه نهایی ConnectWise، شمار قربانیان موفق، و گزارش مستقل شرکت‌های امنیتی.
مقالات مرتبط
سوالات متداول
Storm-0940 کیست؟
مایکروسافت آن را بازیگری «همسو با دولت چین» مینامد که از ۲۰۲۱ فعال و بدون نام مستعار شناختهشده است. این نسبتدادن ارزیابی مایکروسافت است.
آیا ۲٬۲۵۰ سازمان هک شدند؟
طبق مایکروسافت، مهاجم به بیش از ۲٬۲۵۰ مستأجر تلاش ورود زده، اما بیشتر هدف‌گیری‌ها موفق نبوده است. شمار قربانیان موفق اعلام نشده است.
ARTEX چیست؟
چارچوب متنباز نفوذآزمایی چندعاملی که با هر مدل هوش مصنوعی کار میکند و مراحل حمله را از شناسایی تا استخراج داده خودکار میکند (توصیف مایکروسافت).
آیا سامانههای مایکروسافت هک شده بود؟
مایکروسافت میگوید این فعالیت ناشی از نفوذ یا آسیبپذیری در سامانهها، محصولات یا خدمات شرکتی خودش نبوده است.
مدیران فناوری اول چه کنند؟
اتصال برنامههای ConnectWise را تا اعلام رسمی غیرفعال نگه دارند، شواهد را حفظ کنند، سرویسپرینسپالها را با شناسه برنامه بررسی کنند و در صورت فعالیت مشکوک مجوزها را لغو و اعتبارنامهها را بچرخانند.
منابع
اعتبارسنجی
پیوند تأیید همین خبرمطالب مرتبط
فناوری · ۱۱ آبان ۱۴۰۵سامسونگ قابلیت بازگشت وجه را با همکاری راکوتن به Samsung Wallet افزود
فناوری · ۱۱ آبان ۱۴۰۵جنرال موتورز برنامه رانندگی خودکار بزرگراهی را به شاسیبلندها و وانتها گسترش می‌دهد
فناوری · ۱۱ آبان ۱۴۰۵