Microsoft Security ResearchとMicrosoft Threat Intelligenceは、中国国家と連携する脅威アクターStorm-0940がエージェント型AI侵入テストフレームワークARTEXを使ってConnectWiseのサプライチェーン侵害を加速させ、2,250超のテナントに毎分2,900回のサインインを試みたと評価しました。初期標的化からクラウドの特権アクセス取得まで3時間未満だった事例も複数あります。
Microsoftはソフトウェア、クラウドサービス、セキュリティ機能などを提供する技術企業です。
何が起きたか
Storm-0940は2021年から活動し、データ窃取を目的に複数業種を狙うアクターです。2026年9月以降、ARTEXで偵察、スキャン、パスワードスプレー、OAuthアプリケーション悪用を自動化し、航空宇宙・防衛、金融、政府、半導体、ソフトウェアなど幅広い業種の数百組織を標的にしました。
ConnectWiseのマルチテナント型クラウドバックアップアプリケーション(Cloud Backup)の侵害後、Storm-0940は盗んだアプリケーション認証情報でMicrosoft 365環境に認証しました。アプリがすでにテナント内で付与されていた信頼を使うため、対話型ユーザーサインインは不要でした。Microsoftは複数環境で、Microsoft Graphによる偵察、アプリケーション認証情報の変更、ID・グループ・特権ロールに関わる変更を確認しています。認証情報の変更は、元のアプリを是正した後もバックドアとして残り得るとしています。ConnectWiseは2026年10月16日に初期アドバイザリを公開しました。
数値
| 項目 | 値 |
|---|---|
| ARTEX攻撃の対象 | 数百組織 |
| 初期標的化から特権アクセスまで | 3時間未満の事例あり |
| 侵害後にサインインを試行したテナント | 2,250超 |
| サインイン試行速度 | 毎分2,900回 |
| パスワードスプレー期間・送信元 | 2026年10月10〜14日、144.172.64[.]99 |
| スプレー対象 | 8組織の327アカウント |
| 失敗ログオン | 15万1,000件超(ピークは10月11日、毎分2,900件、単日11万1,000件超) |
| 1,000回超の失敗を受けたアカウント | 48 |
| ロックアウト応答の割合 | 全体の約98% |
このパスワードスプレーでは、成功認証、トークン発行、Graph呼び出し、ディレクトリ変更はいずれも観測されませんでした。ConnectWiseのアドバイザリが後に共有した指標の1つは、144.172.64[.]99と完全に一致しています。
ARTEXとは
ARTEXは任意のAIモデルで攻撃的セキュリティワークフローを自動化するオープンソースの侵入テストフレームワークです。Go製のマルチエージェントLLMシステムとNext.jsフロントエンドで構成され、偵察からデータ持ち出しまでの侵入テストを人の介入をほとんど必要とせずに実行し、発見した資産と脆弱性をグラフに蓄積します。UIは英語が既定で、韓国語、中国語(北京語)、スペイン語、日本語に切り替えられます。Microsoftは複数地域の脅威アクターがARTEXを利用していることを確認しています。
推奨される対応
- 影響を受けたConnectWiseアプリケーション接続は、ConnectWiseが正式な復旧手順を出すまで無効のままにする。
- 最初の対応としてエンタープライズアプリケーションを削除せず、不可逆な変更の前に設定と証拠を保存する。
- 4つのアプリケーションIDを棚卸しし、各テナントのローカルservice-principal Object IDを記録する。
- 現在または過去に対象アプリをインストール・承認したすべてのMicrosoft 365テナントを、表示名ではなくアプリケーションIDで確認する。
- Microsoft Entraのサインイン・監査記録、Microsoft Purview Audit記録、SIEMデータ、設定済みMicrosoft Graphテレメトリを保存する。エクスポート待ちで封じ込めを遅らせない。
- 少なくとも2026年10月15日以降を確認し、記録があればサービスプリンシパルのサインインを10月1日まで遡る。
- 成功と失敗のサービスプリンシパルサインインを分けて確認し、通常のベンダー基盤外の活動を調査する。公開IPだけに限定しない。
Microsoftは、影響を受けたアプリの存在や認証成功だけでは顧客データへのアクセスや流出を意味しないとし、この活動はMicrosoftの企業システム、製品、サービスの侵害や脆弱性によるものではないと説明しています。Microsoft Defender XDRは不審なGraph活動と既知の脅威インフラに関する検出・ハンティングクエリを提供しています。
まだコメントはありません。