Un’app già autorizzata porta Storm-0940 nei tenant Microsoft 365
Microsoft attribuisce a Storm-0940 la compromissione supply chain di ConnectWise Cloud Backup, in una campagna ARTEX diretta contro centinaia di organizzazioni. L’attacco ha raggiunto i tenant Microsoft 365 dei clienti attraverso applicazioni già autorizzate.
I clienti avevano già approvato queste applicazioni per collegarle a Microsoft 365: Storm-0940 ha potuto usarle senza avviare un nuovo accesso interattivo di un utente. Microsoft ha rilevato attività su Microsoft Graph, tra cui ricognizione, modifiche alle credenziali applicative e tentativi di alterare i privilegi. Queste operazioni possono estendere l’accesso e mantenerlo nel tenant; l’autenticazione riuscita, da sola, non dimostra che i dati siano stati consultati o esfiltrati.
Per chi usa ConnectWise Cloud Backup, contenere il servizio non chiarisce da solo se nel tenant siano state modificate credenziali del service principal o privilegi di directory. L’accesso concesso all’applicazione può superare lo scopo del backup e lasciare una persistenza indipendente dal servizio.
Microsoft pins ConnectWise supply-chain attack to China-state aligned threat group
Storm-0940 used the agentic AI penetration testing framework to automate attacks and “reach more than 2,250 tenants at 2,900 sign-in attempts per minute,” Microsoft researchers said.
AI-driven, large-scale nation-state campaign using ARTEX enables supply chain compromise | Microsoft Security Blog
Storm-0940 used ARTEX agentic AI to accelerate a ConnectWise supply chain compromise, enabling application credential abuse across Microsoft 365 environments.