ARTEX加速雲端攻擊 Microsoft 365團隊須核查OAuth授權
iThome 報道引述微軟威脅情報指出，與中國國家活動有關、代號Storm-0940的組織，正把開源AI滲透測試框架ARTEX納入攻擊流程，自動處理偵察、掃描、密碼噴灑及OAuth應用程式濫用。受影響焦點不只在單一帳戶：一旦第三方雲端整合的應用程式身分或憑證外洩，攻擊者便可沿既有授權關係，對下游Microsoft 365租戶大規模測試存取。
最重要的限制是，嘗試登入的數量不等於已成功入侵的租戶數。iThome 指出，微軟觀察到攻擊者利用遭竊的ConnectWise應用程式憑證，向超過2,250個Microsoft 365租戶嘗試登入；至於另一輪密碼噴灑行動，微軟沒有觀察到成功登入、權杖核發或後續Microsoft Graph操作。ConnectWise已確認其Cloud Backup服務的相關應用程式身分及憑證曾遭未授權存取，並採取停用受影響應用程式連線等措施。
AI把既有手法變成更快的工作流
這次事件的意義，在於ARTEX並非取代傳統入侵技術，而是把原本需要人手協調的步驟串連及提速。iThome 報道指，Storm-0940在10月10日至14日期間，曾向8個組織的327個帳戶發動密碼噴灑，累計超過15.1萬次登入失敗；峰值每分鐘達2,900次。近98%嘗試得到帳戶鎖定回應，反映大部分這類活動未能取得有效登入。
不過，防守方不能因大批嘗試失敗而掉以輕心。iThome 指出，微軟在部分客戶環境發現，攻擊者成功驗證身分後會利用Microsoft Graph列舉雲端資源，並嘗試修改應用程式憑證、變更涉及高權限角色的設定。這些動作可能用作建立持續存取途徑；但微軟同時提醒，成功驗證本身不代表資料已被讀取或外傳。
ConnectWise事件揭示供應鏈授權的放大效應
對使用Microsoft 365、Microsoft Entra及第三方備份或管理服務的IT團隊而言，較值得留意的是OAuth應用程式權限。iThome 報道指，攻擊者以原先已獲企業授權的OAuth應用程式身分，使用4組應用程式憑證在不足4分鐘內產生超過200筆登入紀錄。這顯示應用程式憑證一旦失守，攻擊面可由單一服務供應商延伸至多個客戶環境。
這是基於已披露事實的風險分析：企業即使已啟用帳戶登入保護，若沒有把應用程式身分、同意授權及憑證輪換納入同等嚴格的管治，第三方整合仍可能成為橫向存取的入口。對MSP尤其如此，因為其服務通常連接多個客戶租戶，任何共用或過度授權的整合都會提高事故的影響範圍。
IT團隊可優先核查三項紀錄
- 在Microsoft Entra檢查登入紀錄，特別是服務主體及應用程式登入，找出不尋常來源、短時間大量登入或異常失敗模式。
- 盤點已獲同意的OAuth應用程式、其權限及憑證有效期；對不再使用、權限過大的整合撤銷授權，並更換可能受影響的憑證。
- 檢視Microsoft Graph活動，以及高權限角色、應用程式憑證和權限設定的變更，將異常事件與第三方服務的事故通知交叉比對。
iThome 報道所述攻擊目標涵蓋金融、政府、能源、製造、半導體及科技等多個行業。下一步值得觀察的，是各雲端服務供應商會否披露更多受影響應用程式身分與入侵指標，以及企業能否把第三方OAuth授權的持續監察，納入日常身分與存取管理流程。
延伸閱讀
AI 輔助說明： 本文由 AI 協助整理，並經兩輪獨立自動品質審核；資料及連結仍以原始來源為準。
參考來源
- iThome — 中國駭客Storm-0940利用自主AI框架ARTEX發動大規模攻擊，並藉ConnectWise憑證滲透企業雲端 — original report
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
