ARTEX 情报站English

时间线

ConnectWise Cloud Backup 凭据被滥用，Storm-0940 瞄准 M365 租户

事件日期2026-10-10 至 2026-10-15
披露日期2026-10-16
类型供应链入侵
可信度已确认
ARTEX 认定来源点名 ARTEX
国家和地区全球
行业MSP、IT 服务、多行业

10-14 发现，10-16 公告，10-21 Microsoft 归因。多数目标未成功，但有若干攻击拿到特权云访问，部分从首次瞄准到特权访问不足 3 小时。Microsoft 没有给成功数。

已确认受害

  • ConnectWise（Cloud Backup）
  • Huntress 确认的 162 个租户

目标

  • 2,250+ 个 M365 租户（尝试登录）
  • 8 个组织 327 个账户（密码喷洒，未见成功）

归因

ARTEX 依据
Microsoft 称 Storm-0940 用 ARTEX 自动化，但未说明如何认出 ARTEX；Huntress 指出这一点。ConnectWise 正文只写 agentic AI framework。
攻击者
Microsoft：a China-state aligned actor（Storm-0940，活跃自 2021）。
是否同一攻击者
和韩国银行案是两个行为者，不合并。GTIG 的 UNC7228 与它重叠。

数字和口径

2,250+是「尝试登录」的租户数，不是被攻破数
组织Microsoft：hundreds；digit.in 标题：over 100
喷洒10-10 至 14，327 账户、8 组织、151,000+ 次失败；10-11 峰值 2,900 次/分钟
Huntress162 个租户确认（截至 10-16 19:00 UTC）；近 1,000 租户有活动，300+ 成功
LLM 参与Huntress 单看自家数据为低到中；加上 Microsoft 归因后中到高

说明

关联 IoC

类型值角色验证
应用 ID0de14c77-b9b0-4137-9360-34878a929827ConnectWise - MS Graph仅来源报告
应用 ID2399d300-6fca-4e6a-a686-399fefe75b83ConnectWise Cloud Management: application identity disabled on October 17仅来源报告
应用 ID24205314-2b89-4e07-a2a4-579e898a5640ConnectWise - MS Teams仅来源报告
应用 ID3f9cd7a0-127a-4ed4-bf06-2f830d5616b7Application owner tenant ID seen on the app's service principal events (the vendor's tenant)仅来源报告
应用 ID412dcf96-176d-4b3a-a1b0-4981ad66971eCloud Management - Partner Center: application identity disabled on October 17仅来源报告
应用 ID506e08f9-6e9a-4da4-942b-a099a03644aeConnectWise Cloud Backup仅来源报告
应用 IDb2b55f5b-7758-4719-8d8f-88ae172e6bdbCloud Management - SharePoint Online: application identity disabled on October 17仅来源报告
应用 IDb78f6a77-d4e5-46fb-87e5-d1648bd02519Cloud Management - Exchange Online: application identity disabled on October 17仅来源报告
网段144[.]172[.]64[.]0/24IP range referenced by Microsoft and Huntress as the range containing the associated activity仅来源报告
IP104[.]194[.]150[.]21未归因 Storm-0940；无首末见日期平台未判定
IP144[.]172[.]64[.]128Storm-0940 infrastructure (Microsoft)平台判定恶意
IP144[.]172[.]64[.]60Storm-0940 infrastructure (Microsoft)平台未判定
IP144[.]172[.]64[.]99Storm-0940 infrastructure (Microsoft)平台未判定
IP144[.]172[.]94[.]243Broad failed login spray, ongoing, many organizations平台判定恶意
IP167[.]88[.]172[.]97未归因 Storm-0940；无首末见日期平台未判定
IP187[.]15[.]88[.]186VPN IP that accessed Graph API via compromised apps平台未判定
IP187[.]15[.]89[.]186VPN IP that accessed Graph API via compromised apps平台未判定
IP187[.]15[.]90[.]217VPN IP that accessed Graph API via compromised apps平台未判定
IP194[.]165[.]16[.]21Possible link based on re-use of python-requests/2.31 in a password spray during the same timeframe平台判定恶意
文件路径/assets/config.jsonpath in the post body仅来源报告
文件路径/env.jspath in the post body仅来源报告
文件路径/sign_in/oauth/microsoft/callbackpath in the post body仅来源报告
文件路径/swagger/?format=openapipath in the post body仅来源报告
文件路径/zzz-nonexistent-xyz123path in the post body仅来源报告
User-Agent(Boto3 1.43.112) Boto3/1.43.112 md/Botocore#1.43.112 ua/2.1 os/linux#6.8.0-147-generic md/arch#x86_64 lang/python#3.12.14 md/pyimpl#CPython m/n,Z,b,D cfg/retry-mode#legacy Botocore/1.43.112来源称多数 UA 不唯一，单独狩猎噪声大仅来源报告
User-Agent(Boto3 1.43.113) Boto3/1.43.113 md/Botocore#1.43.113 ua/2.1 os/linux#6.8.0-147-generic md/arch#x86_64 lang/python#3.12.14 md/pyimpl#CPython m/e,b,Z,D cfg/retry-mode#legacy Botocore/1.43.113来源称多数 UA 不唯一，单独狩猎噪声大仅来源报告
User-Agent(aws-cli 1.46.1) aws-cli/1.46.1 md/Botocore#1.43.62 ua/2.1 os/linux#6.8.0-147-generic md/arch#x86_64 lang/python#3.12.14 md/pyimpl#CPython m/b,Z,D cfg/retry-mode#legacy botocore/1.43.62来源称多数 UA 不唯一，单独狩猎噪声大仅来源报告
User-AgentMozilla/5.0 (Windows NT 10.0; Win64; x64)来源称多数 UA 不唯一，单独狩猎噪声大仅来源报告
User-AgentMozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36来源称多数 UA 不唯一，单独狩猎噪声大仅来源报告
User-AgentMozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120 Safari/537.36来源称多数 UA 不唯一，单独狩猎噪声大仅来源报告
User-AgentMozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/124.0 Safari/537.36来源称多数 UA 不唯一，单独狩猎噪声大仅来源报告
User-AgentMozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/124.0.0.0 Safari/537.36来源称多数 UA 不唯一，单独狩猎噪声大仅来源报告
User-AgentMozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/125.0 Safari/537.36来源称多数 UA 不唯一，单独狩猎噪声大仅来源报告
User-AgentMozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 Chrome/120.0 Safari/537.36来源称多数 UA 不唯一，单独狩猎噪声大仅来源报告
User-AgentMozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 Chrome/124.0 Safari/537.36来源称多数 UA 不唯一，单独狩猎噪声大仅来源报告
User-AgentMozilla/5.0 (Windows NT 10.0; Win64; x64) Chrome/120来源称多数 UA 不唯一，单独狩猎噪声大仅来源报告
User-AgentMozilla/5.0 (Windows NT 10.0; Win64; x64) Chrome/124.0来源称多数 UA 不唯一，单独狩猎噪声大仅来源报告
User-AgentMozilla/5.0 (Windows NT 10.0; Win64; x64) Chrome/124.0 Safari/537.36来源称多数 UA 不唯一，单独狩猎噪声大仅来源报告
User-AgentMozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/124.0 Safari/537.36来源称多数 UA 不唯一，单独狩猎噪声大仅来源报告
User-AgentPython-urllibuser agent in Graph/sign-in logs仅来源报告

查看全部 51 条

相关事件

来源（12）