22 октября 2026 г.
ИИ-агенты ускорили атаку через ConnectWise: 2 900 попыток входа в минуту
21 октября Microsoft связала взлом ConnectWise с группой, которую называет связанной с Китаем: Storm-0940 через облачный бэкап ConnectWise получила учётные данные многотенантных приложений. Группа работала с ARTEX, открытым фреймворком автопентеста на нескольких LLM-агентах, и пыталась войти в более чем 2 250 тенантов Microsoft 365.
Взлом начался с облачного бэкапа ConnectWise (Cloud Backup). Оттуда злоумышленники получили учётные данные многотенантных приложений, которыми ConnectWise подключается к корпоративным клиентам. Значит, риск есть у каждого клиента, который выдал такому приложению доступ в свой Microsoft 365. Телеметрия Microsoft зафиксировала более 151 000 неудачных входов, а скорость перебора достигала 2 900 попыток в минуту.
Что сделать. Microsoft советует держать подключения затронутых приложений ConnectWise отключёнными, пока ConnectWise не опубликует инструкцию по восстановлению. Enterprise-приложения сразу не удалять: сначала сохранить конфигурацию и доказательства. Искать их нужно по Application ID из блога Microsoft, а не по названию. Журналы Entra и Purview проверить с 15 октября, по возможности с 1 октября: успешные и неудачные входы service principal, новые credentials, назначения app-ролей и изменения привилегированных ролей.
Не хотите разбираться сами? Внедряем ИИ в ваш бизнес: задачи без лимита, одна цена в месяц, отмена в любой момент.
Сама ConnectWise отключила Cloud Backup, SaaS Security и Cloud Management.
Восстановление идёт поэтапно с 22 октября, и ConnectWise обещает уложиться в несколько дней.
Первоисточник