Microsoft 将 ARTEX 攻击与超过 2,250 个 ConnectWise 租户联系起来
Storm-0940 利用被入侵的 ConnectWise 应用身份进行云访问；Microsoft 表示一些目标在不到三小时内就获得了特权访问。
By Ryan Merket · Published · Updated
Primary source: X
为何重要
该事件表明，对受信任的多租户应用的入侵可以将现有的云权限变成横跨客户环境的快速通道，而服务停摆则会破坏这些客户所依赖的备份和安全工具。
Microsoft 表示，与中国相关的威胁行为体 Storm-0940 使用了 agentic 渗透测试框架 ARTEX，利用被入侵的 ConnectWise 应用标识，影响了超过 2,250 个客户租户，活动峰值达到每分钟 2,900 次登录尝试。 在其 10月21日分析 中，Microsoft 表示部分攻击在不到三小时内就获得了特权云访问。 公司称该行为体早在 2026 年 9 月就被观察到使用 ARTEX。
此次攻击依赖于已授予 Microsoft 365 客户环境中应用的访问权限。 这使得行为体能够作为应用进行身份验证，而无需交互式用户登录，随后使用 Microsoft Graph 进行侦察、修改应用凭据并尝试权限更改。Microsoft 警告称，这些步骤可能使攻击者即便在原始应用连接被禁用后，仍能通过其他凭据或身份保持访问权限。…
When you purchase through links in our articles, we may earn a small commission. This doesn’t affect our editorial independence.