مايكروسوفت: وكلاء ذكاء اصطناعي يخترقون 2250 مستأجراً عبر ConnectWise

خبر:

إطار وكلاء ذكاء اصطناعي مفتوح المصدر اسمه ARTEX نفّذ هجمات اختراق متعددة المراحل بأدنى تدخل بشري ضد مئات المؤسسات حول العالم منذ سبتمبر 2026، بحسب مايكروسوفت. ونسبت الشركة النشاط إلى مجموعة تسمّيها Storm-0940، ناشطة منذ 2021 وتُنسب إلى الصين. وقالت إن النشاط لم ينتج عن ثغرة في أنظمتها أو منتجاتها.

تفصيل:

• ما هو ARTEX: بحسب مايكروسوفت، ARTEX إطار اختبار اختراق مفتوح المصدر يقوم على وكلاء متعددين يعتمدون على نماذج لغوية كبيرة، ويمكنه العمل مع أي نموذج ذكاء اصطناعي. وهو مكتوب بلغة Go بواجهة Next.js، وينفّذ دورة كاملة من الاستطلاع حتى تسريب البيانات، فيما يبني وكلاؤه خريطة للأصول والثغرات.
• حملة التخمين: بين 10 و14 أكتوبر 2026، شغّلت Storm-0940 بنية تحتية على العنوان 144.172.64.99 في حملة تخمين كلمات مرور عابرة للمستأجرين استهدفت 327 حساباً في 8 منظمات، وسجّلت الشركة أكثر من 151 ألف محاولة فاشلة من دون دخول ناجح واحد. وبلغت الذروة نحو 2900 محاولة في الدقيقة في 11 أكتوبر.
• اختراق ConnectWise: بالتوازي، تعرّض تطبيق ConnectWise Cloud Backup للاختراق، وكشفت تقارير علنية ذلك في 15 أكتوبر 2026، فيما أصدرت ConnectWise تنبيهاً في 16 أكتوبر. وتطابقت مؤشرات الاختراق مع نطاق العنوان نفسه المستخدم في حملة تخمين كلمات المرور، وفق مايكروسوفت.
• حجم الوصول: استخدم المهاجمون بيانات اعتماد مسروقة من هويات تطبيق ConnectWise للدخول من دون تسجيل دخول تفاعلي إلى أكثر من 2250 مستأجراً، بحسب مايكروسوفت. وهذا النمط يتجاوز آليات الحماية المرتبطة بعمليات تسجيل الدخول البشرية.
• التعمّق في البيئات: في بعض البيئات، تعمّق المهاجمون داخل Microsoft Graph لأعمال استطلاع وتعديل بيانات اعتماد التطبيقات بهدف البقاء، مع محاولات تغيير في الهويات والمجموعات والأدوار المميزة، وفق الشركة. وقالت مايكروسوفت إن Storm-0940 حققت تموضعاً مميزاً مستمراً في العديد من المؤسسات.
• عامل السرعة: حصلت عدة هجمات تعتمد على ARTEX على وصول مميز إلى البنية السحابية، في بعض الحالات خلال أقل من 3 ساعات من بدء الاستهداف، بحسب مايكروسوفت. وقالت الشركة إن الوكلاء غير مقيّدين بالعوامل التي تؤثر في البشر، وإن هذه السرعة “allows very little time for Defenders to respond”.
• القطاعات المستهدفة: شملت الطيران والدفاع والسيارات والطاقة والخدمات المالية والحكومة والقانون والتصنيع والإعلام والجيش وأشباه الموصلات والبرمجيات والتكنولوجيا ومراكز الفكر والمؤسسات غير الربحية، بحسب مايكروسوفت. ولم تسمِّ الشركة المؤسسات المتأثرة ولا الدول التي تنتمي إليها.
• ليست جهة واحدة: ذكرت مايكروسوفت أن تقارير علنية في أكتوبر 2026 أشارت إلى استخدام جهات تهديد أخرى لـARTEX، من بينها اختراق بيانات شخصية استهدف مؤسسات مالية كورية. وقالت إنها رصدت جهات متعددة في مناطق مختلفة تستخدم الإطار نفسه.
• موقف مايكروسوفت: قالت الشركة إن النشاط لم ينتج عن اختراق أو ثغرة في أنظمتها أو منتجاتها أو خدماتها، وإن معظم الاستهداف لم ينجح. ونُشر التحليل في 21 أكتوبر 2026 وجرى تحديثه في 23 أكتوبر.
• المعادلة الدفاعية: الجمع بين أداة مفتوحة المصدر متاحة لأي جهة، وبين دخول لا يمر عبر تسجيل دخول تفاعلي، يعني أن المؤشرات التقليدية لمحاولات الاختراق البشرية قد لا تلتقط هذا النمط من النشاط.

خلفية:

تنسب مايكروسوفت Storm-0940 إلى الصين وتقول إنها ناشطة منذ 2021. وتعني تسمية Storm تصنيفاً لمجموعة لا تزال قيد التتبع. أما نموذج المستأجر فيعني بيئة سحابية مستقلة لكل مؤسسة، ما يجعل اختراق مزوّد خدمة واحد باباً إلى آلاف البيئات المنفصلة.

بين السطور:

الرقمان الأبرز لا يقيسان الشيء نفسه: 151 ألف محاولة فاشلة ولا اختراق ناجح واحد، مقابل أكثر من 2250 مستأجراً دخلها المهاجمون ببيانات اعتماد مسروقة من مزوّد. أي أن القوة الحاسمة جاءت من سلسلة التوريد لا من سرعة الوكلاء. وقول مايكروسوفت إن معظم الاستهداف لم ينجح يتعايش مع إقرارها بتموضع مميز مستمر في مؤسسات عدة.

ماذا بعد؟

متابعة تحديثات ConnectWise بشأن نطاق الاختراق وعدد العملاء المتأثرين، وأي تحديث إضافي من مايكروسوفت على تحليلها، ورصد حملات جديدة تعتمد ARTEX لدى جهات تهديد أخرى خارج الحالة الكورية.