Microsoft: agenci AI Storm-0940 w ataku przez ConnectWise

Według Microsoftu za włamaniem przez aplikację ConnectWise do firmowych Microsoft 365 stoi chińska grupa Storm-0940, która prowadzi ataki agentami AI i w kilku przypadkach zdobyła uprzywilejowany dostęp do chmury firmy w niecałe trzy godziny. Raport Microsoft Threat Intelligence z 21 października 2026 roku podaje, że grupa od września używa otwartego narzędzia ARTEX. Po przejęciu tożsamości aplikacji ConnectWise jej agenci sięgnęli do ponad 2 250 dzierżaw Microsoft 365 w tempie 2 900 prób logowania na minutę. Microsoft każe teraz przejrzeć logowania aplikacji nawet od 1 października i szukać poświadczeń dopisanych innym aplikacjom, bo mogą działać jak tylne drzwi także po wyłączeniu aplikacji ConnectWise.

Stan na 21 października 2026, 21:40. Raport Microsoftu opublikowany 21.10 o 18:23 UTC (20:23 czasu polskiego). Komunikat ConnectWise w wersji z 21.10, 19:00 UTC.

Co Microsoft ustalił o grupie Storm-0940 i agentach ARTEX

Storm-0940 to według Microsoftu grupa powiązana z państwem chińskim, aktywna od 2021 roku i nastawiona na kradzież danych. Microsoft opisywał ją już w październiku 2024 roku. Grupa używała wtedy haseł zdobytych przez sieć przejętych domowych i biurowych routerów, a celowała w organizacje w Ameryce Północnej i Europie: think tanki, administrację, organizacje pozarządowe, kancelarie i przemysł zbrojeniowy.

Jej stałe metody to rozpylanie haseł, czyli próbowanie kilku popularnych haseł na wielu kontach naraz, oraz dopisywanie własnych poświadczeń do istniejących aplikacji w Microsoft 365. Taka aplikacja działa na wcześniej przyznanych uprawnieniach, więc przez Microsoft Graph sięga do danych bez logowania żadnego pracownika. Do czego dokładnie, zależy od zgód nadanych tej konkretnej aplikacji. Według Microsoftu grupa w ten sposób wynosiła już pocztę i inne dane.

Nowe w raporcie z 21 października jest tempo. Od co najmniej września 2026 roku grupa prowadzi ataki przez ARTEX na setki organizacji na świecie. Microsoft wymienia 14 branż, od lotnictwa i zbrojeniówki przez energetykę, finanse i administrację po kancelarie, producentów półprzewodników i organizacje pozarządowe. Większość prób się nie udała. Tam, gdzie się udało, grupa w krótkim czasie zostawiała sobie trwały, uprzywilejowany dostęp do chmury.

ARTEX to według Microsoftu otwartoźródłowe narzędzie do testów penetracyjnych, napisane w Go z interfejsem w Next.js. Kilku agentów opartych na modelach językowych prowadzi w nim test od rozpoznania aż po wyprowadzenie danych, przy niewielkim udziale człowieka. Narzędzie działa z dowolnym modelem AI. Microsoft nie podaje, jakiego modelu używała Storm-0940. Na początku października opisywaliśmy, jak ARTEX posłużył do ataków na koreańskie banki. Microsoft dopisuje, że widzi to narzędzie u grup z wielu regionów świata.

Jak agenci AI przyspieszyli atak przez ConnectWise

Microsoft opisuje dwie fazy, połączone tym samym adresem IP. Między 10 a 14 października serwer grupy rozpylał hasła na konta w ośmiu organizacjach. Microsoft zarejestrował ponad 151 tysięcy nieudanych logowań i ani jednego udanego. W szczycie automat wysyłał 2 900 prób na minutę, a prawie wszystkie odpowiedzi kończyły się blokadą konta.

15 października pojawiły się pierwsze publiczne doniesienia o włamaniu do aplikacji ConnectWise Cloud Backup (dawniej SkyKick), z adresami z tego samego zakresu. Dzień później ConnectWise podał we własnym komunikacie adres identyczny z serwerem od rozpylania haseł. O samym włamaniu i pierwszych dniach śledztwa pisaliśmy w tekście ConnectWise Cloud Backup: co sprawdzić w Entra ID.

Po przejęciu tożsamości kilku aplikacji ConnectWise agenci logowali się nimi do środowisk klientów. Aplikacja z nadaną wcześniej zgodą nie potrzebuje hasła pracownika ani drugiego składnika, więc ochrona kont użytkowników jej nie zatrzymuje. ARTEX sięgnął w ten sposób do ponad 2 250 dzierżaw w tempie 2 900 prób logowania na minutę. W części z nich agenci przeszli dalej: rozpoznawali katalog przez Microsoft Graph, zmieniali poświadczenia aplikacji, grupy i role uprzywilejowane. W tabeli wykryć Microsoft opisuje aplikację ConnectWise, która sama nadała sobie rolę Global Administratora.

Automat generuje dużo ruchu i dużo alertów, ale zostawia bardzo mało czasu na skoordynowaną reakcję. Zespół, który odpowiada na alert następnego dnia rano, może zastać już dopisane poświadczenia.

Czego Microsoft i ConnectWise nie potwierdzają

Microsoft zastrzega, że obecność aplikacji ConnectWise w dzierżawie, a nawet udane logowanie napastnika, nie oznacza, że ktoś odczytał albo wyniósł dane. Raport nie podaje listy poszkodowanych, krajów ani liczby firm, z których zabrano dane. Microsoft pisze też, że atak nie wynikał z luki ani włamania do jego systemów.

ConnectWise w swoim komunikacie w Trust Center sprawcy nie wskazuje. Atrybucja do Storm-0940 to ocena Microsoftu. Według aktualizacji z 21 października (19:00 UTC) firma zaczęła przywracać usługi etapami i spodziewa się, że potrwa to kilka dni. 19 października zresetowała wszystkie konta i poświadczenia w środowisku Cloud Backup. Klienci mają trzymać połączenia aplikacji wyłączone, dopóki nie dostaną instrukcji dla swojej usługi. Archiwa kopii są według firmy zaszyfrowane i odizolowane, bez oznak naruszenia. ConnectWise dodaje, że te ustalenia nie przesądzają, czy konkretne dzierżawy klientów zostały naruszone.

Agenci AI · Kodożercy

Zbuduj agenta, który wykonuje zadania za Ciebie

Kurs Agenci AI od Kodożerców prowadzi przez pięciu agentów zbudowanych w n8n: bibliotekarza odpowiadającego na pytania z Twoich dokumentów, asystenta proszącego o zgodę przed ważnym krokiem, badacza, inżyniera i łącznika spinającego narzędzia przez MCP. Kod, tam gdzie jest potrzebny, pisze Claude pod Twoim nadzorem.

Zobacz program kursu →

Co sprawdzić w Microsoft Entra ID według zaleceń Microsoftu

Microsoft każe zacząć od czterech aplikacji i szukać ich po identyfikatorze, nie po nazwie. Dotyczy to każdej dzierżawy, w której aplikacja jest albo kiedyś była zainstalowana, także gdy firma dawno przestała z niej korzystać.

SkyKick Partner Portal nie było na liście siedmiu aplikacji, którą ConnectWise i Huntress podawały w pierwszych dniach. Kto sprawdzał dzierżawę według tamtej tabeli, powinien teraz dosprawdzić tę jedną.

Zalecenia natychmiastowe Microsoftu, punkt po punkcie

1. Trzymaj połączenia aplikacji ConnectWise wyłączone, dopóki ConnectWise nie poda formalnych instrukcji przywrócenia.
2. Nie usuwaj aplikacji dla przedsiębiorstw jako pierwszej reakcji. Najpierw zabezpiecz konfigurację i dowody.
3. Spisz wszystkie cztery identyfikatory aplikacji i w każdej dzierżawie zanotuj identyfikator obiektu lokalnej jednostki usługi.
4. Przejrzyj każdą dzierżawę Microsoft 365, w której te aplikacje są albo były zainstalowane lub autoryzowane. Szukaj po identyfikatorze aplikacji.
5. Zachowaj dzienniki logowania i inspekcji Entra, dziennik inspekcji Microsoft Purview, dane z SIEM (systemu, który zbiera i analizuje zdarzenia bezpieczeństwa) i wcześniej skonfigurowaną telemetrię Microsoft Graph. Nie wstrzymuj pilnego odcięcia dostępu, czekając na eksport.

Dalsze punkty dotyczą przeglądu dzienników:

1. Przejrzyj aktywność co najmniej od 15 października 2026 roku. Jeśli dzienniki sięgają dalej, logowania jednostek usługi sprawdź od 1 października, łącznie z nieudanymi logowaniami i nietypowymi skokami ruchu.
2. Logowania udane i nieudane przeglądaj osobno. Badaj wszystkie nieznane źródła spoza infrastruktury dostawcy, nie tylko opublikowane adresy IP.
3. W dzienniku inspekcji Entra szukaj dodanych poświadczeń aplikacji i jednostek usługi oraz nowych aplikacji, jednostek usługi i właścicieli. Sprawdź przypisania ról aplikacji, zgody i role uprzywilejowane. Szukaj też zmian użytkowników, grup, metod uwierzytelniania i dostępu warunkowego. Po potwierdzeniu podejrzanej aktywności odbierz zbędne uprawnienia i wymień poświadczenia.
4. W dziennikach Microsoft 365 szukaj rozpoznania z nietypowych adresów: listowania katalogu, uprawnień i zgód.
5. Sprawdź nietypowy dostęp do poczty i plików, pobrania, przekierowania, reguły skrzynek i transportu oraz delegowane uprawnienia do skrzynek.
6. Po zabezpieczeniu dowodów uprawniona osoba usuwa potwierdzone nieuprawnione poświadczenia, zgody, właścicieli, przypisania i tożsamości.

Gdzie to znaleźć w centrum administracyjnym Entra

Uprawnienia aplikacji pokazuje widok opisany w dokumentacji Microsoft Learn: Entra ID > Aplikacje dla przedsiębiorstw > Wszystkie aplikacje, potem wybrana aplikacja > Uprawnienia i karta Zgoda administratora. Potrzebna jest co najmniej rola Administratora aplikacji w chmurze. Logowania aplikacji są w dziennikach logowania, w kategorii Logowania jednostki usługi, osobno od logowań użytkowników.

Z dziennikami trzeba się spieszyć. W bezpłatnym Microsoft Entra ID dzienniki logowania i inspekcji są przechowywane siedem dni, w planach P1 i P2 trzydzieści. Wpisy z 15 października znikną więc z bezpłatnej dzierżawy około 22 października. Dziennik aktywności Microsoft Graph istnieje tylko w P1 i P2 i tylko wtedy, gdy ktoś wcześniej podpiął go do magazynu albo narzędzia analitycznego. W innym przypadku tej części śladów nie ma i nie będzie.

Dlaczego samo wyłączenie aplikacji ConnectWise nie zamyka sprawy

Poświadczenia, które agenci dopisali innym aplikacjom i tożsamościom, zostają w dzierżawie. Microsoft pisze wprost, że mogą działać jak tylne drzwi także po naprawieniu pierwotnej aplikacji. Dlatego punkt 8 jest ważniejszy niż samo wyłączenie. Pusta lista logowań z adresów z raportu też niczego nie dowodzi, bo Microsoft każe badać wszystkie nieznane źródła.

Aplikacje dostawców z szerokimi uprawnieniami: co zmienić na stałe

Ten atak pokazuje słabość, którą ma wiele małych firm na Microsoft 365. Zewnętrzny serwis IT instaluje aplikację z uprawnieniami do całej poczty i katalogu, a nikt w firmie nie wie, że ona tam jest. Microsoft zaleca na dłużej cztery rzeczy. Aplikacje wielu dzierżaw mają dostać najmniejsze potrzebne uprawnienia. Dopisywane poświadczenia i przypisania ról trzeba monitorować, zwłaszcza przy aplikacjach z wysokimi uprawnieniami. Trzeba też sprawdzić, czy wymiana poświadczeń u dostawcy faktycznie odcięła dostęp, i ocenić skutki dla kopii zapasowych i odtwarzania.

Niezależnie od bieżącego monitorowania warto raz na kwartał otworzyć listę aplikacji dla przedsiębiorstw i przy każdej z zgodą administratora zapytać, kto ją zainstalował i czy jest jeszcze potrzebna. Jeśli Microsoft 365 prowadzi za was firma zewnętrzna, poproście ją o taką listę na piśmie. Ochronę kont pracowników opisujemy osobno w poradniku jak zabezpieczyć pocztę w Microsoft 365 przed phishingiem. Przy aplikacjach dostawców ta ochrona nie działa, bo nie loguje się żaden człowiek.

FAQ

Czy firma bez aplikacji ConnectWise ma się czym martwić?

Bezpośrednio ten etap ataku jej nie dotyczy, bo agenci logowali się przez aplikacje ConnectWise. Storm-0940 równolegle rozpylała hasła na konta w innych organizacjach, a ARTEX jest publicznie dostępny dla każdej grupy. Logowania jednostek usługi i dopisane poświadczenia aplikacji warto więc przejrzeć niezależnie od tej sprawy.

{ dla firm }

Co możemy zrobić dla Twojej firmy?

Budujemy strony, sklepy i aplikacje, łączymy systemy z KSeF i księgowością, wdrażamy automatyzacje i agentów AI, a na koniec dbamy o widoczność w Google. Zaczynamy od rozmowy o tym, co dziś zabiera Twojemu zespołowi najwięcej czasu.

strony i sklepyaplikacjeKSeF i integracjeautomatyzacjeagenci AISEO

Zobacz, co robimy dla firm → Software house, który prowadzi ten blog

Podsumowanie

Według Microsoftu chińska grupa Storm-0940 użyła agentów AI z narzędzia ARTEX do ataku przez aplikacje ConnectWise. Automatyzacja pozwoliła jej sprawdzić ponad 2 250 dzierżaw Microsoft 365, a w części organizacji skróciła drogę do uprzywilejowanego dostępu do chmury poniżej trzech godzin. Microsoft nie twierdzi, że dane wyciekły, a ConnectWise sprawcy nie wskazuje i od 21 października przywraca usługi etapami. Jeśli firma ma albo miała którąś z czterech aplikacji, najpierw zachowaj dowody i zostaw połączenie wyłączone, bez usuwania aplikacji. W bezpłatnym Entra ID dzienniki z 15 października znikną około 22 października. Samo wyłączenie nie wystarczy, bo napastnik mógł dopisać dostęp innym aplikacjom i tożsamościom. Przejrzyj logowania jednostek usługi, nowe poświadczenia, role i zgody, a jeśli pozwala na to retencja dzienników, sięgnij do 1 października.

Mateusz Wojdalski

Specjalista SEO i content marketingu w Devstock. Zajmuję się strategią treści, automatyzacją procesów marketingowych i wdrożeniami AI w codziennej pracy. Badam nowe narzędzia, adaptuję je do realnych zadań i piszę o tym, co faktycznie działa.