AI 幫駭客加班：中國駭客團體 Storm-0940 用代理式 AI 工具入侵 ConnectWise，數小時攻下雲端權限

微軟揭露，中國政府背景駭客團體 Storm-0940 以 AI 代理滲透測試框架 ARTEX 入侵 IT 廠商 ConnectWise 的雲端備份服務，鎖定全球上千個租戶，有案例從鎖定目標到取得雲端最高權限不到三小時。

AI 讓資安防禦變強，也讓攻擊變快。微軟週三發表資安部落格，揭露中國政府背景的駭客團體 Storm-0940，把一套名為 ARTEX 的代理式 AI 滲透測試框架拿來當攻擊武器，攻破 IT 服務商 ConnectWise 的雲端備份環境，進而滲透下游客戶的 Microsoft 365 租戶。

機器速度：每分鐘 2,900 次登入嘗試

ARTEX 本是合法的安全檢測工具，使用者可以掛上任意 AI 模型，自動執行偵察、資料竊取等任務。Storm-0940 用它來加速掃描、密碼噴灑與 OAuth 應用濫用，行動規模驚人：針對超過 2,250 個客戶租戶，每分鐘發起約 2,900 次登入嘗試；微軟觀察到多起案例從鎖定目標到拿到雲端最高權限不到三小時。AI 不用睡覺、不用休假，還能同時嘗試多條入侵路徑，整條攻擊鏈被壓縮到前所未見。

供應鏈式擴散：數百家機構中招

自 9 月起，該團體鎖定全球數百家組織，涵蓋航太國防、汽車、化工、能源、金融、政府、法律、製造、媒體、軍方、半導體、軟體、科技、智庫與非營利組織。雖然多數鎖定沒有得手，但不少受害者被植入了「清理也清不掉」的高階雲端存取權，後續威脅還在。

ConnectWise 回應：已封鎖並分階段恢復

ConnectWise 早在 10 月 16 日就公告正在調查雲端備份環境的未授權存取；執行長 Manny Rivelo 後續證實已封鎖受影響的應用連線、採分階段恢復服務，但也坦言：攻擊者在客戶租戶內留下的存取權不會隨封鎖自動消失，客戶必須自行檢視清理。

這套 ARTEX 框架用 Go 語言寫成，此前曾被用於攻擊南韓金融機構，隨後轉為閉源；Storm-0940 則是微軟自 2021 年起追蹤、2024 年 11 月首次公開揭露的團體，過去以 Quad7 殭屍網路做密碼噴灑攻擊聞名。如今它學會了用 AI 替自己加班，防禦方也得跟著升級。

資料來源： Microsoft（官方資安部落格）、Reuters、The Hacker News