新聞

近期利用開源AI滲透測試框架ARTEX發動網路攻擊的案例接連曝光，不只南韓金融機構、日本大量企業遭到攻擊，臺灣91APP的資安事件也發現使用相關工具的入侵痕跡，但這些攻擊事件的幕後攻擊者及彼此關聯仍未完全釐清。微軟10月21日則發布一份關於中國駭客利用ARTEX的研究報告，指出中國背景駭客組織Storm-0940是利用ARTEX發動攻擊的組織之一，已對全球數百家組織發動大規模自動化攻擊，部分案例甚至在不到3小時內，就取得企業雲端環境的高權限存取能力。此外，微軟也將近期ConnectWise Cloud Backup供應鏈入侵事件歸因於Storm-0940，指出攻擊者利用遭竊的應用程式憑證，對大量Microsoft 365客戶環境展開攻擊。

Storm-0940是微軟追蹤自2021年起活躍、與中國國家活動有關的駭客組織，主要以竊取資料為目的，過去常透過密碼噴灑攻擊及利用對外系統漏洞取得初始存取權限。微軟這次研究顯示，該組織開始將ARTEX整合至既有攻擊流程，藉由AI代理自動執行偵察、掃描、密碼噴灑及OAuth應用程式濫用等工作，擴大攻擊規模並加快入侵速度。

關於這波攻擊鎖定的對象，涵蓋航太國防、汽車、化工、能源、金融、政府、法律、製造、軍事、半導體、軟體與科技等多種產業。微軟指出，雖然大多數攻擊並未得逞，但已有多家組織的雲端環境遭到入侵，攻擊者並建立具備高權限的持續存取途徑。

就攻擊規模而言，微軟觀察到Storm-0940於10月10日至14日期間，針對8家組織的327個帳號進行密碼噴灑攻擊，累計逾15.1萬次登入失敗；另一方面，攻擊者也利用遭竊的ConnectWise應用程式憑證，對逾2,250個Microsoft 365租戶嘗試登入。

在密碼噴灑攻擊方面，Storm-0940透過IP位址144[.]172[.]64[.]99發動攻擊，試圖登入Microsoft 365及Exchange Online，最高每分鐘出現2,900次登入失敗，其中48個帳號各出現超過1,000次登入失敗，整體登入活動中，近98%的登入嘗試收到帳號鎖定回應。不過，微軟並未在這波攻擊中觀察到成功登入、存取權杖核發或後續Microsoft Graph操作。值得注意的是，這個IP位址也出現在ConnectWise後續公布的入侵指標中，成為研究人員連結相關攻擊活動的重要線索。

至於ConnectWise供應鏈事件，該公司10月16日揭露Cloud Backup服務疑似遭到未經授權存取，後續確認相關應用程式身分及憑證遭到未經授權存取。如今微軟將這起事件歸因於中國背景駭客Storm-0940，並指出後續該組織利用遭竊的應用程式憑證及ARTEX，透過原本已獲企業授權的OAuth應用程式身分，快速嘗試存取下游客戶的Microsoft 365環境，甚至曾在不到4分鐘內，使用4組應用程式憑證產生逾200筆登入紀錄。

此外，微軟也在部分客戶環境觀察到攻擊者成功驗證身分後，透過Microsoft Graph列舉雲端資源、修改應用程式憑證，以及涉及高權限角色的異動或權限變更嘗試，可能藉此建立持續存取途徑。對此，微軟建議企業檢查Microsoft Entra登入紀錄、應用程式憑證及權限異動，確認是否出現異常存取，並提醒成功驗證不代表資料已遭存取或外傳。ConnectWise則已採取停用受影響應用程式連線等措施，持續進行服務復原及安全驗證。