调查
微软评估中国关联 Storm-0940 借 ARTEX 智能体框架加速 ConnectWise 供应链后续滥用
微软威胁情报于 10 月 21 日发布调查，评估中国国家关联行为体 Storm-0940 约自 2026 年 9 月起使用开源智能体渗透测试框架 ARTEX，对全球多行业数百个组织开展自动化攻击，并认定该行为体应对近期披露的 ConnectWise Cloud Backup（原 SkyKick）多租户 OAuth 应用供应链失陷负责。报告称 ARTEX 加快了利用已获授权应用身份向客户 Microsoft 365 环境认证与后续 Graph 侦察、应用凭据变更与权限尝试的速度；部分案例从选中目标到取得特权云访问不足三小时。微软强调活动并非源于微软自有产品被攻破，且观察到认证或后续活动并不必然等于客户数据已被读取。
跟你的关系曾授权 ConnectWise/SkyKick 相关云备份或多租户 OAuth 应用的 Microsoft 365 租户，应按微软与 ConnectWise 指引审查服务主体登录、异常应用凭据与权限变更，并在处置前保留审计证据。
活动
微软称 Storm-0940 使用 ARTEX 约自 2026-09；口令喷洒等活动约 10-10 至 10-14；ConnectWise 相关未授权访问公开通报约自 10-15/16；微软归因与 ARTEX 分析发布于 10-21。
- 状态
- 已公开
- 行业
- 信息技术、专业服务、政府与公共部门、金融服务
- 可信度
- 高
可信度标为高：已经打开的独立调查报告不止一份。
来源
Microsoft · 事件调查报告 · 最先提出