Microsoft Threat Intelligence חשפה קמפיין מדינתי מואץ באמצעות ARTEX, מסגרת בדיקות חדירה מבוססת סוכני AI. לפי Microsoft, קבוצת Storm-0940 המזוהה עם סין השתמשה בכלי כדי להרחיב ולזרז פעילות נגד מאות ארגונים, ובחלק מהמקרים הגיעה להרשאות ענן גבוהות בתוך פחות משלוש שעות.
מה קרה בקמפיין
הפעילות נצפתה כבר בספטמבר 2026. ARTEX שימשה לסריקה, איסוף מודיעין, ניסיונות Password Spraying וניצול לרעה של יישומי OAuth. Microsoft מייחסת ל-Storm-0940 גם פעילות המשך סביב הפגיעה ביישומי ConnectWise Cloud Backup, שאפשרה לתוקף לנסות להיכנס לסביבות Microsoft 365 של לקוחות במורד שרשרת האספקה.
חשוב להדגיש: עצם קיומו של יישום מושפע או אפילו אימות מוצלח אינו מוכיח שהמידע נגנב. Microsoft דיווחה שבכמה סביבות נצפו פעולות המשך ב-Microsoft Graph, ובהן סיור, שינוי אישורי יישומים וניסיונות להרחיב הרשאות או ליצור התמדה.
היקף ומהירות חריגים
לפי הטלמטריה שפורסמה, המסגרת שימשה לניסיונות כניסה ליותר מ-2,250 Tenants. בקמפיין Password Spraying בין 10 ל-14 באוקטובר נרשמו יותר מ-151 אלף כניסות כושלות נגד 327 חשבונות בשמונה ארגונים, עם שיא של כ-2,900 כישלונות בדקה. Microsoft מציינת כי באותו מקטע לא נצפה אימות מוצלח, הנפקת Token או שינוי ספרייה.
הסיכון המרכזי אינו טכניקה חדשה לחלוטין, אלא שילוב של אוטומציה, פעילות מסביב לשעון והרצת כמה נתיבי תקיפה במקביל. כך חלון התגובה של צוותי SOC מתקצר מאוד, גם כאשר מערכות ההגנה מייצרות התראות.
מהו ARTEX
ARTEX היא מסגרת Open Source לבדיקות חדירה אוטונומיות. היא משלבת כמה סוכני LLM, בנויה ב-Go עם ממשק Next.js, ויכולה לבצע רצף פעולות מסיור ועד ניסיונות להוצאת מידע עם מעורבות אנושית מוגבלת. הסוכנים מרכזים נכסים, חולשות וקשרים בגרף ומשתמשים בתוצאות כדי לבחור את הצעד הבא.
למה שרשרת האספקה מסוכנת במיוחד
יישום רב-דיירי שקיבל הרשאות OAuth גבוהות נתפס לעיתים כרכיב מהימן. אם פרטי האימות של היישום נפגעים, התוקף עשוי להשתמש בהרשאות הקיימות בלי לבצע כניסה אינטראקטיבית של משתמש. במצב כזה MFA למשתמש הקצה אינו בהכרח עוצר את הפעילות, משום שהגישה נעשית בשם Service Principal או יישום.
צעדים מיידיים לארגונים
- להשאיר חיבורים מושפעים של ConnectWise מושבתים עד לקבלת הנחיות שחזור רשמיות.
- לא למחוק מיד Enterprise Applications; תחילה לשמר הגדרות, לוגים וראיות לחקירה.
- לבדוק Service Principal Sign-ins, כולל הצלחות וכישלונות, החל מ-15 באוקטובר ולפי האפשרות גם מתחילת החודש.
- לסקור שינויים באישורי יישומים, בעלי יישום, Consent Grants, App Roles ותפקידי מנהל.
- לחפש פעילות Microsoft Graph חריגה, גישה לתיבות דואר ו-SharePoint, חוקי העברה והרשאות Delegation.
- לאחר שימור הראיות, להסיר Credentials והרשאות לא מאושרים ולבצע Rotation לסודות ולאישורים.
מה צריך לשנות לטווח הארוך
ארגונים צריכים להתייחס לזהויות אפליקטיביות כמו לחשבונות מנהל: Least Privilege, ניטור רציף, התראות על שינוי Credential והרשאה, והפרדה בין יישומים קריטיים. מומלץ גם לקלוט ל-SIEM לוגים של Entra, Microsoft Graph, Purview ו-Key Vault ולבנות Correlation בין אימות אפליקטיבי לבין פעולות שבוצעו אחריו.
מקור: Microsoft Security, 21 באוקטובר 2026.
תמונת המחשה מקורית שנוצרה באמצעות AI עבור מערכת ITPortal ומתועדת לשימוש באתר ובערוצי הסושיאל של ITPortal.
