Agent AI użyty w cyberataku na łańcuch dostaw ConnectWise

Sztuczna inteligencja rewolucjonizuje biznes, oferując przedsiębiorstwom potężne narzędzia usprawniające codzienne procesy i obsługę klientów. Jednak z tych samych nowoczesnych rozwiązań coraz chętniej korzystają również cyberprzestępcy. Niedawne doniesienia technologicznego giganta rzuciły światło na nowe, niepokojące zjawisko związane z wykorzystaniem systemów autonomicznych w zautomatyzowanych incydentach naruszenia bezpieczeństwa.

Bezpieczeństwo cyfrowe stało się kluczowym elementem funkcjonowania każdej organizacji, niezależnie od jej skali. Wprowadzanie innowacji, takich jak wdrażane przez nas nowoczesne automatyzacje AI, przynosi firmom wymierne korzyści operacyjne, ale jednocześnie wymaga świadomości zagrożeń płynących ze strony cyberprzestępców adaptujących te same technologie do własnych celów.

Warto przyjrzeć się bliżej konkretnemu incydentowi opisanemu przez Microsoft, aby zrozumieć, jak szybko ewoluują metody stosowane przez hakerów i jakie wnioski mogą z tego wyciągnąć mniejsze podmioty gospodarcze.

Grupa Storm-0940 i incydent z aplikacją ConnectWise

Microsoft poinformował w środę o wykryciu zaawansowanego ataku na łańcuch dostaw, za którym stała powiązana z chińskim rządem grupa hakerska oznaczona jako Storm-0940. Incydent ten dotyczył popularnej aplikacji ConnectWise Cloud Backup, stanowiącej element infrastruktury wielu firm na całym świecie. Hakerzy przeprowadzili operację, wykorzystując podatności oraz skomplikowane mechanizmy automatyzacji oparte na sztucznej inteligencji.

Grupa ta jest aktywna co najmniej od 2021 roku. Wcześniejsze działania Storm-0940 obejmowały między innymi wykorzystanie botnetu o nazwie Quad7 do przeprowadzania ataków typu password spray. Nowy incydent pokazał jednak zupełnie inny poziom zaawansowania technologicznego napastników, którzy w swoich działaniach zaczęli polegać na oprogramowaniu agentowym napędzanym sztuczną inteligencją.

Rola frameworka AI o nazwie ARTEX w cyberatakach

Kluczowym elementem opisywanego ataku było zastosowanie narzędzia o nazwie ARTEX. Jest to oparty na języku Go framework agentowy sztucznej inteligencji, służący pierwotnie do testów penetracyjnych. Narzędzie to zostało jednak przekształcone do celów złośliwych i zamknięte w kodzie źródłowym po tym, jak wcześniej odnotowano jego nadużycia w atakach wymierzonych w południowokoreańskie instytucje finansowe.

W ramach kampanii wymierzonej w ConnectWise, aktorzy zagrożenia wykorzystali ARTEX do znacznego przyspieszenia procesu skanowania i rozpoznania sieci, ataków typu password spray oraz nadużywania uprawnień aplikacji OAuth u ofiar downstream. Dzięki sztucznej inteligencji działania te mogły być prowadzone z niespotykaną dotąd prędkością maszynową.

Przebieg ataku z prędkością maszynową i skala działań

Microsoft zauważył, że od września 2026 roku narzędzie ARTEX było wykorzystywane do automatyzacji ataków wymierzonych w setki organizacji na całym świecie. Sektory, które ucierpiewaly lub znajdowały się w kręgu zainteresowania, to między innymi lotnictwo i obronność, motoryzacja, chemia, energetyka, usługi finansowe, administracja rządowa, prawo, produkcja, media, wojsko, półprzewodniki, oprogramowanie, technologia oraz organizacje non-profit. Tak pracujemy przy tworzenie stron internetowych dla firm.

Wykorzystanie ARTEX pozwoliło napastnikom na błyskawiczne uwierzytelnianie się w środowiskach docelowych przy użyciu aplikacji, które już wcześniej posiadały nadane uprawnienia. W efekcie hakerzy mogli działać bez konieczności interaktywnego logowania się przez użytkownika. W niektórych przypadkach czas od początkowego wycelowania w organizację do uzyskania uprzywilejowanego dostępu wynosił mniej niż trzy godziny. Więcej o tym, jak to wpływa na pozycjonowanie i widoczność w Google, znajdziesz w opisie usługi.

Przykładowo, między 10 a 14 października 2026 roku, infrastruktura Storm-0940 przeprowadziła zautomatyzowaną kampanię cross-tenant skierowaną przeciwko 327 kontom w ośmiu organizacjach w celu uzyskania dostępu do Microsoft 365 i Exchange Online. W tym okresie zarejestrowano ponad 151 000 nieudanych prób logowania. Aktywność osiągnęła szczyt 11 października, notując 2900 błędów na minutę, co w skali całej doby dało ponad 111 000 nieudanych prób. Powiązany temat opisaliśmy w artykule „Nowe narzędzie do debugowania aplikacji no-code i generatorów AI”.

Przejęcie tożsamości aplikacji w chmurze

Sytuacja uległa zmianie 15 października 2026 roku, kiedy agenci AI uzyskali dostęp do tożsamości wielu aplikacji chmurowych ConnectWise. Od tego momentu zaczęli wykorzystywać skradzione poświadczenia aplikacji do uwierzytelniania w środowiskach klientów, skutecznie nadużywając wcześniej ustanowionego zaufania wewnątrz tenantów.

W części tych przypadków agenci AI przeszli od samego uwierzytelniania do operacji w Microsoft Graph i na katalogach. Obejmowało to rozpoznanie, modyfikacje poświadczeń aplikacji w celu zapewnienia trwałości dostępu oraz zmiany dotyczące tożsamości, grup i ról o podwyższonych uprawnieniach.

Co to oznacza dla małej firmy?

Dla właściciela małego przedsiębiorstwa informacje o zaawansowanych atakach państwowych grup hakerskich mogą wydawać się odległe, jednak wnioski płynące z tych incydentów dotyczą każdego biznesu korzystającego z rozwiązań chmurowych. Kiedy cyberprzestępcy wdrażają autonomiczne narzędzia AI do masowego łamania zabezpieczeń, tradycyjne, powolne metody ochrony przestają wystarczać. Każda firma, niezależnie od tego, czy działa lokalnie, czy globalnie, musi zadbać o podstawowe filary cyberbezpieczeństwa.

Warto pamiętać, że napastnicy szukają najsłabszych ogniw – źle skonfigurowanych uprawnień, przestarzałego oprogramowania czy braku weryfikacji dwuetapowej. Wdrażając nowoczesne technologie w swojej działalności, w tym profesjonalne strony internetowe oraz systemy chmurowe, należy ściśle współpracować z ekspertami, którzy dbają o właściwe zabezpieczenie punktów styku z użytkownikami i systemami zewnętrznymi.

Warto również regularnie weryfikować stan techniczny swoich rozwiązań online, korzystając z profesjonalnych narzędzi sprawdzających poprawność konfiguracji infrastruktury sieciowej.

Podsumowanie

Incydent z udziałem grupy Storm-0940 i frameworka ARTEX pokazuje, że sztuczna inteligencja stała się dwusiecznym mieczem w dziedzinie cyberbezpieczeństwa. Automatyzacja procesów ataków pozwala na przeprowadzanie kampanii na skalę i z prędkością niedostępną wcześniej dla człowieka. Dla właścicieli firm oznacza to konieczność zachowania wzmożonej czujności, dbałości o audyty bezpieczeństwa oraz stosowania nowoczesnych metod ochrony tożsamości i zasobów w chmurze.