ARTEX AI, czyli agenci AI w chińskim ataku na ConnectWise

21 października Microsoft Threat Intelligence przypisał atak na łańcuch dostaw ConnectWise chińskiej grupie Storm-0940, powiązanej z państwem. Według Microsoftu grupa prowadziła atak z pomocą ARTEX AI, frameworku agentów AI do testów penetracyjnych, i próbowała logować się do ponad 2250 tenantów Microsoft 365.

Co się właściwie stało?

ConnectWise to dostawca oprogramowania dla firm IT, które zarządzają infrastrukturą swoich klientów. Celem był ConnectWise Cloud Backup (dawniej SkyKick), czyli usługa kopii zapasowych, która ma uprawnienia do danych Microsoft 365 swoich klientów.

Oś czasu według Microsoftu:

1. Od początku września 2026 Storm-0940 używa ARTEX do ataków na setki organizacji na całym świecie.
2. 10–14 października z jednego adresu IP idzie zautomatyzowany password spraying na 327 kont w ośmiu organizacjach: ponad 151 tys. nieudanych logowań, w szczycie 2900 prób na minutę. Ta faza nie przyniosła ani jednego udanego logowania.
3. 15 października atakujący przejmują tożsamości kilku aplikacji ConnectWise i logują się nimi do środowisk klientów, bez żadnego interaktywnego logowania użytkownika.
4. 16 października ConnectWise publikuje pierwszy komunikat, a 17 października wyłącza siedem tożsamości aplikacji i zawiesza Cloud Backup.

Najbardziej niepokojąca liczba: w kilku przypadkach od wybrania celu do uprzywilejowanego dostępu do chmury minęły niecałe 3 godziny. Jedna z aplikacji ConnectWise sama nadała sobie rolę Global Administratora.

Czym jest ARTEX AI?

To nie model, tylko harness agentowy do testów penetracyjnych: system wielu agentów LLM napisany w Go, z interfejsem w Next.js, który może korzystać z dowolnego modelu. Według Microsoftu agenci przechodzą samodzielnie całą ścieżkę od rekonesansu po wyprowadzenie danych, a znalezione zasoby i luki zbierają w graf.

Według Zscaler ThreatLabz ARTEX powstał w Chinach i był udostępniony na GitHubie przez dewelopera o pseudonimie „Autumn-27”. Po ujawnieniu nadużyć autor zamknął kod, ale wcześniejsze kopie i forki mogą nadal krążyć.

To nie pierwszy raz, kiedy o ARTEX jest głośno. Zscaler opisał 14 października kampanię przeciw południowokoreańskim firmom finansowym, w której wyciekły dane osobowe ok. 67 tys. osób. W tamtej kampanii ARTEX korzystał głównie z DeepSeek v4.1-flash, a GLM-5.3 i Grok służyły do dodatkowego rozumowania. Co ciekawe, atakujący pytał też Claude Code, jak sprzedać skradzione dane i gdzie szukać koreańskich kanałów na Telegramie.

Microsoft nie podał, jakiego modelu Storm-0940 użył przy ConnectWise.

Co jest w tym nowego?

Agentów AI w atakach widzieliśmy już przy ataku hakerskim Cairn, a AI pomagało też szukać luk w PHP2Shell. Tym razem jest to jednak grupa powiązana z państwem, atak na łańcuch dostaw i wprost nazwany framework agentowy. Jak piszą badacze Microsoftu, to pokazuje, jak atakujący „włączają agentów AI do istniejących ofensywnych procesów” (cytując „integrating agentic AI into existing offensive security workflows”).

Microsoft wskazuje dwie przewagi agentów: pracują bez przerwy i mogą próbować kilku ścieżek włamania naraz. W raporcie czytamy krótko: „Agents are not constrained by factors affecting humans”.

Dla równowagi: większość prób się nie udała. Microsoft zaznacza też, że samo logowanie aplikacji nie musi oznaczać, że dane klientów zostały odczytane lub wyprowadzone (cytując „does not necessarily indicate that customer data was accessed or exfiltrated”). Rzecznik ConnectWise powiedział The Record, że nic nie wskazuje na naruszenie danych z kopii zapasowych.

Na co zwrócić uwagę na przyszłość?

Jeśli korzystamy z ConnectWise, Microsoft zaleca kilka kroków:

1. Trzymać połączenia z aplikacjami ConnectWise wyłączone, dopóki ConnectWise nie poda oficjalnych instrukcji przywrócenia.
2. Szukać aplikacji po identyfikatorze aplikacji, nie po nazwie wyświetlanej, we wszystkich tenantach.
3. Zachować logi Entra i Purview i przejrzeć aktywność co najmniej od 15 października, a logowania service principali najlepiej od 1 października.
4. Sprawdzić nowe poświadczenia, role i zgody dla aplikacji, bo dodane przez atakujących poświadczenia mogą działać jak backdoor nawet po usunięciu pierwotnej aplikacji.

Szerszy wniosek dotyczy wszystkich: aplikacje firm trzecich z szerokimi uprawnieniami w Microsoft 365 to dziś łatwy cel. Warto ograniczyć im uprawnienia do minimum (i raz na jakiś czas sprawdzić, co w ogóle ma dostęp do naszego tenanta).

FAQ

Kto stoi za ARTEX AI?

Według Zscaler narzędzie powstało w Chinach i zostało opublikowane na GitHubie przez dewelopera „Autumn-27”. Po ujawnieniu nadużyć kod został zamknięty.

Czy ARTEX to model AI?

Nie. To framework, który steruje wieloma modelami (np. DeepSeek, GLM, Grok) i rozdziela między nie zadania jak w zespole pentesterów.

Czy dane z kopii zapasowych ConnectWise wyciekły?

Na razie nie ma na to dowodów. ConnectWise nie znalazł śladów dostępu do zaszyfrowanych archiwów, ale przyznaje, że nie widzi, co działo się w tenantach klientów.

Ile organizacji zostało dotkniętych?

Microsoft mówi o próbach logowania do ponad 2250 tenantów. Według The Next Web Huntress znalazł prawie 1000 tenantów z próbami logowania, z czego ponad 300 z udanymi.