كشفت مايكروسوفت يوم الأربعاء أن جهة تهديد مرتبطة بالدولة الصينية، تعرف باسم Storm-0940، تقف وراء الاختراق الأخير لسلسلة التوريد الذي طال تطبيق ConnectWise Cloud Backup التابع لشركة كونيكت وايز. واستعان المهاجمون بإطار ARTEX، وهو إطار لاختبار الاختراق يعتمد على وكلاء الذكاء الاصطناعي ومكتوب بلغة غو. وقد أغلقت شيفرته المصدرية بعد إساءة استخدامه في هجمات استهدفت مؤسسات مالية في كوريا الجنوبية. واستخدمته الجهة لتسريع المسح والاستطلاع وتخمين كلمات المرور وإساءة استغلال تطبيقات OAuth لدى الضحايا في المراحل اللاحقة من الهجوم.
هجمات بسرعة الآلة تطال مئات المؤسسات
أوضحت مايكروسوفت أن الجهة المهاجمة استخدمت أداة الذكاء الاصطناعي بما وصفته بسرعة الآلة، لأتمتة هجمات استهدفت مئات المؤسسات حول العالم منذ سبتمبر 2026. وتوزعت الأهداف على قطاعات واسعة تشمل الطيران والدفاع، والسيارات، والكيماويات، والطاقة، والخدمات المالية، والحكومة، والقانون، والتصنيع، والإعلام، والقطاع العسكري، وأشباه الموصلات، والبرمجيات، والتقنية، إضافة إلى مراكز الأبحاث والمنظمات غير الربحية.
وبحسب الشركة، فإن استخدام ARTEX سرّع إساءة استغلال التطبيقات المخترقة للمصادقة داخل بيئات الضحايا عبر تطبيقات سبق أن مُنحت صلاحيات الوصول، ما سمح للمهاجم بالعمل دون حاجة إلى تسجيل دخول تفاعلي من مستخدم. وشملت الأنشطة اللاحقة المدعومة بالذكاء الاصطناعي الاستطلاع وتغيير بيانات اعتماد التطبيقات ومحاولات تعديل الصلاحيات بما يتيح وصولاً أوسع أو أطول أمداً. وفي حالات عدة، لم تتجاوز المدة بين بدء الاستهداف والحصول على صلاحيات مميزة في البنية السحابية ثلاث ساعات.
تسلسل الهجوم على كونيكت وايز في أرقام
سجلت مايكروسوفت أن ARTEX حاول تسجيل الدخول إلى أكثر من 2250 مستأجراً سحابياً بمعدل 2900 محاولة في الدقيقة، وهي وتيرة تمنح المدافعين نافذة ضيقة للغاية للرصد والاستجابة. وبين 10 و14 أكتوبر 2026، نفذت بنية تحتية تابعة للجهة المهاجمة على العنوان 144.172.64.99 حملة تخمين كلمات مرور آلية عبر مستأجرين متعددين، استهدفت 327 حساباً في ثماني منظمات للوصول إلى Microsoft 365 وExchange Online.
وخلال تلك الفترة رصدت الشركة أكثر من 151 ألف محاولة دخول فاشلة. وبلغ النشاط ذروته في 11 أكتوبر بمعدل 2900 فشل في الدقيقة، بما تجاوز 111 ألف محاولة فاشلة في يوم واحد، وتلقى 48 حساباً أكثر من ألف محاولة فاشلة لكل منها. ولم تُرصد في تلك المرحلة أي مصادقة ناجحة أو إصدار رموز وصول أو استدعاءات لواجهة Graph أو تغييرات في الدليل. لكن الصورة تغيرت في 15 أكتوبر 2026، حين تمكن الوكلاء الآليون من الوصول إلى هويات عدة تطبيقات سحابية تابعة لكونيكت وايز، وبدأوا استخدامها للمصادقة داخل بيئات العملاء.
واستمر الوكلاء العاملون لصالح الجهة المهاجمة في استخدام نطاق العناوين نفسه للدخول إلى بيئات العملاء عبر بيانات اعتماد التطبيقات المسروقة، مستفيدين من الثقة المسبقة التي تتمتع بها هذه التطبيقات داخل كل مستأجر. وفي بعض الحالات تجاوز الوكلاء مرحلة المصادقة إلى عمليات في Microsoft Graph والدليل، شملت الاستطلاع وتعديل بيانات اعتماد التطبيقات لترسيخ الوجود، وتغييرات طالت الهويات والمجموعات والأدوار ذات الصلاحيات العالية. وحذرت مايكروسوفت من أن هذه التعديلات قد تبقى فعالة كباب خلفي حتى بعد معالجة التطبيق المخترق الأصلي.
من هي Storm-0940 وكيف تعمل
ظهر اسم Storm-0940 للمرة الأولى في تقرير لمايكروسوفت في نوفمبر 2024، كشف أن الجهة تعتمد على شبكة بوت نت تعرف باسم Quad7 أو CovertNetwork-1658 لتنفيذ هجمات تخمين كلمات مرور شديدة التخفي. ويقدر أنها نشطة منذ عام 2021 على الأقل. وتستغل الجهة التطبيقات المكشوفة على الإنترنت للحصول على الوصول الأولي، ثم تستخدم الحسابات المخترقة للتنقل داخل البيئات المستهدفة، وقد رصد سابقاً أنها ترسخ وجودها بإضافة بيانات اعتماد إلى تطبيقات OAuth القائمة داخل البنى السحابية، لضمان الوصول إلى موارد Microsoft 365.
وتكمن خطورة هذا الأسلوب في أن تطبيقات OAuth تعمل بثقة ممنوحة مسبقاً، فلا تظهر أنشطتها كأنها تسجيل دخول بشري مشبوه. وعندما يضاف إلى ذلك وكلاء ذكاء اصطناعي لا يتعبون ولا ينامون، تتقلص المدة التي يملكها فريق الأمن لاكتشاف الاختراق قبل أن يتحول إلى سيطرة كاملة على البنية السحابية.
ARTEX في أيدي مجموعات متعددة وتحقيقات تكشف النوايا
أكدت مايكروسوفت أن Storm-0940 ليست الوحيدة التي تعتمد على ARTEX، إذ رصدت جهات تهديد في مناطق جغرافية متعددة تسلحه في عملياتها. وتتبعت مجموعة إنسيكت التابعة لشركة ريكورديد فيوتشر المجموعة التي تقف خلف الهجمات على المؤسسات المالية الكورية الجنوبية تحت اسم TAG-217، وقالت إنها رصدت نشاطاً مرتبطاً بها يعود إلى 17 أغسطس 2026، اختبرت فيه بنية تحتية مصممة للحفاظ على وصول عن بعد إلى الحواسيب وأجرت مسحاً للإنترنت. وخلال الأسابيع التالية، جهزت الجهة الناطقة بالصينية أدوات لمهاجمة عمليات تعدين العملات المشفرة على منصة YiiMP، وأعدت بيئة لاختبار ثغرات في أجهزة آيفون وتعديل نظام أندرويد.
وكشف مختبر ثريت لابز التابع لشركة زيسكيلر أن بصمة هذه الهجمات تتجاوز كوريا الجنوبية، وأنها استهدفت مؤسسات حول العالم في قطاعات متعددة بشكل انتهازي. واستند ذلك إلى نشر مخصص لـ ARTEX ضم إعدادات مساعدين ذكيين وسكربتات مزامنة وأدوات توجيه شبكي وسجل أوامر من Claude Code. وقال الباحث الأمني سيونغسو بارك إن ARTEX كان مهيأ لاستخدام نموذج DeepSeek عبر بوابة متوافقة مع OpenAI، بينما حددت إعدادات أخرى نماذج DeepSeek وGLM وGrok. وأضاف أن الأوامر وجهت النماذج إلى تقسيم مهام التحقيق ومراجعة نتائج بعضها، بما في ذلك تكليف GLM بمراجعة عمل DeepSeek ووكلائه الفرعيين.
وأظهر تحليل سجلات الأوامر طلبات للحصول على بيانات شخصية ومالية بكميات كبيرة، وأسئلة عن بيع البيانات المسروقة، ما يرجح أن الهجمات ذات دوافع مالية. وتعلقت أوامر أخرى باستخراج مفاتيح واجهات بوابات الدفع واستغلال مسارات سك الرموز غير القابلة للاستبدال والحصول على صلاحيات إدارية غير مصرح بها.
وفي ردها، قالت كونيكت وايز إن النشاط يصف حملة تتجاوز في نطاقها أي شركة بعينها، مضيفة أن الجهات الحكومية المهاجمة تستهدف سلسلة توريد البرمجيات بشكل متزايد لأن اتصالاً موثوقاً واحداً قد يفتح الباب إلى منظمات كثيرة. وأكدت أن مزودي الخدمات المدارة في قلب هذه السلسلة، فهم أهداف بحد ذاتها وممر إلى كل عميل يخدمونه، ولذلك يجب على كل مورد ومزود خدمات أن يدافع عن نفسه مع مراعاة هذين الخطرين. وكانت الشركة قد أوقفت خدماتها مؤقتاً بعد الهجمات، وتعمل حالياً على استعادتها على مراحل ستستغرق عدة أيام. وشددت مايكروسوفت على أن الوكلاء لا تقيدهم العوامل التي تقيد البشر، فهم يعملون على مدار الساعة وفي العطلات ويجربون مسارات اختراق متعددة في وقت واحد، ما يقلص الزمن بين اختيار الهدف وتحقيق الغاية ويزيد من سرعة وأثر الهجمات المعقدة مثل اختراقات سلسلة التوريد.
