👺ИИ-агент ARTEX задействовали в атаке на цепочку поставок ConnectWise, а его форки нау...
👺ИИ-агент ARTEX задействовали в атаке на цепочку поставок ConnectWise, а его форки научились маскироваться под nginx и пробивать сети до Active Directory Издание The Japan Times со ссылкой на публикацию в блоге японской ИБ-компании GMO Cybersecurity by Ierae сообщило о серии взломов японских предприятий с помощью созданного в Китае открытого автономного ИИ-агента для пентеста ARTEX, который ранее использовался в атаках на финансовые организации Южной Кореи по данным CrowdStrike. Следом подразделение Microsoft Threat Intelligence раскрыло ещё более масштабную кампанию китайской прогосударственной группировки Storm-0940, которая с сентября 2026 года применяла ARTEX для автоматизированных атак на сотни организаций по всему миру и в ряде случаев получала привилегированный доступ к облачной инфраструктуре жертв менее чем за три часа. С 10 по 14 октября злоумышленники из Storm-0940 с узла 144.172.64[.]99 провели автоматизированную атаку методом распыления паролей против 327 учётных записей в восьми организациях, сгенерировав свыше 151 000 неудачных попыток входа в Microsoft 365 и Exchange Online (из них более 111 000 пришлись на пиковый день 11 октября), а уже 15 и 16 октября та же инфраструктура проявилась в атаке на цепочку поставок облачного сервиса резервного копирования ConnectWise. Захватив учётные данные мультиарендных OAuth-приложений поставщика (ConnectWise Cloud Backup, ConnectWise - MS Teams, ConnectWise - MS Graph и SkyKick Partner Portal), ИИ-агенты ARTEX без интерактивного входа пользователей попытались авторизоваться более чем в 2 250 клиентских тенантах со скоростью до 2 900 попыток в минуту, после чего в ряде сред через Microsoft Graph провели разведку, модифицировали учётные данные приложений для закрепления в системе и попытались повысить привилегии вплоть до назначения сервисному принципалу роли глобального администратора. Как мы помним, после южнокорейских инцидентов разработчик оригинальной утилиты 8 октября объявил о закрытии исходного кода и к 9 октября скрыл репозиторий на GitHub, по подсчётам аналитического блога piyolog, к 20 октября сумма отображаемых счётчиков форков в 15 основных ветках (без исключения взаимных пересечений в дереве GitHub) превысила 12 000, а минимум в четырёх ветках сторонние авторы продолжили самостоятельно развивать инструмент. Если базовый ARTEX координировал внешние LLM для автономной разведки, поиска уязвимостей и взлома на уровне публичных веб-интерфейсов и API, то в новых модификациях возможности атаки вышли далеко за пределы внешнего периметра. По данным обзора ITmedia, третичный форк RuBat-B получил функцию поэтапного горизонтального перемещения, которая после первичного взлома публичного веб-сервера захватывает узлы с разрешённым межсетевым экраном рабочим трафиком, наследует их сетевые права и шаг за шагом пробивает защиту через демилитаризованную зону (DMZ) ко внутренним сегментам приложений и баз данных вплоть до компрометации среды Active Directory, а появление переименованных сборок с английской и корейской локализацией вроде ScopeWeaver мешает отслеживать угрозу по старому названию.