Использование искусственного интеллекта в кибератаках
Компания Microsoft сообщила, что китайская хакерская группа, известная как Storm-0940 и активная с 2021 года, начала использовать фреймворк тестирования на проникновение с открытым исходным кодом Artex для автоматизации кампаний атак, направленных против сотен организаций. Этот переход к автоматизации на базе искусственного интеллекта позволил злоумышленникам проводить операции по разведке и атаки методом перебора паролей (Password Spraying) с высокой скоростью.
Детали атаки на ConnectWise
В середине октября 2026 года группа атаковала рабочие среды клиентов компании ConnectWise, что побудило компанию приостановить предоставление жизненно важных услуг, таких как облачное резервное копирование и безопасность программного обеспечения как услуги (SaaS). Согласно техническим наблюдениям, злоумышленники использовали скомпрометированные учетные данные для получения доступа к сотням арендаторов в Microsoft 365 и Entra.
Данные показывают, что злоумышленникам удалось выполнить более 2900 попыток входа в систему в минуту: было зафиксировано более 151 000 неудачных попыток, за которыми последователи успешные операции аутентификации, использовавшие учетные данные облачных приложений ConnectWise.
Что меняется на практике?
Опасность заключается в том, что агенты искусственного интеллекта не ограничились процессом аутентификации, а перешли к выполнению расширенных операций внутри сред жертв, включая:
- Проведение разведывательных операций внутри Microsoft Graph.
- Изменение учетных данных приложений для обеспечения постоянного доступа (Persistence) даже после устранения исходных уязвимостей.
- Внесение изменений в удостоверения, группы и роли с высоким уровнем привилегий.
Рекомендации по безопасности для организаций
Microsoft предупреждает организации о необходимости тщательно проверять операции входа в систему администраторов служб (Service Principals) и связывать их с последующей активностью в Microsoft Graph и изменениями в каталоге. Службы безопасности должны уметь отличать авторизованную административную деятельность от подозрительной активности, которая может указывать на эксплуатацию таких автоматизированных инструментов, как Artex.
Эти атаки подтверждают растущую тенденцию среди продвинутых постоянных угроз (APT) использовать инструменты искусственного интеллекта для сокращения временного разрыва между обнаружением уязвимости и осуществлением взрыва, что создает дополнительную нагрузку на команды реагирования на инциденты.