Microsoft 报告称中国关联组织 Storm-0940 使用开源 AI 智能体 Artex 自动化网络攻击

微软发布了一份新报告，称其发现了一个名为 Storm-0940 的中国国家关联组织实施了网络攻击。该组织使用一款名为 Artex 的中国 AI 智能体，将针对全球数百个不同行业组织的攻击自动化。

ARTEX 以开源形式在 GitHub 上发布，它将多个大语言模型（LLM）智能体串联起来，通过渗透测试完成从侦察到数据窃取的整个流程，仅需极少的人工介入。

这些密钥属于 ConnectWise 的 Microsoft 365 备份和管理应用；这些应用本就拥有广泛的访问权限，因此只需登录便可绕过用户登录和多因素身份验证（MFA）。

有几次由 ARTEX 驱动的入侵从首次锁定目标到获得云端高权限访问，用时不到 3 小时。

在一些租户中，这些智能体查询了 Microsoft Graph，向其他应用添加了凭据，并让一个 ConnectWise 应用自行授予 Global Administrator（全局管理员）权限。

大多数攻击尝试仍未成功，包括一次密码喷洒攻击产生了超过 15.1 万次失败登录记录，却没有任何一次成功；而仅有应用登录记录并不能证明数据已被窃取。

滥用 OAuth 应用是 Storm-0940 的惯用手法，但 ARTEX 的执行速度极快，以至于防御人员在收到警报和撤销权限之间几乎没有多少时间。