微软披露：中国关联黑客组织用 AI 渗透测试工具攻击数百家机构

发生了什么

根据微软的安全报告，Storm-0940 至少自 2021 年起活跃。此次行动中，该组织通过被盗的应用凭证——包括一个泄露的 API 密钥——从受信任的服务商身份横向移动到客户云环境，尝试登录 2250 多个关联租户，高峰时每分钟约 2900 次尝试；在部分案例中，攻击者在开始针对某一组织后不到 3 小时即获得特权访问。

ARTEX 是一个开源的 Go 语言渗透测试框架，可接入任意 AI 模型，自动执行侦察、密码喷洒、OAuth 滥用、凭证更换和权限修改等任务，无需人工交互登录。微软称该团伙自 2026 年 9 月起用它攻击全球数百家组织，覆盖航空航天、国防、汽车、化工、能源、金融服务、政府、法律、制造、媒体、军事、半导体、软件、科技、智库和非营利组织。ARTEX 此前也出现在针对韩国金融机构的攻击调查中。

关键事实

1. ConnectWise 首席执行官 Manny Rivelo 在声明中表示："根据微软的分析与 ConnectWise 掌握的证据，看起来一个与中国国家有关联的团伙是这次攻击的幕后方。"公司已隔离受影响的应用连接并分阶段恢复服务，同时警告"这些行动无法清除已在个别客户租户内建立的未授权访问，需要单独审查"。
2. 在 10 月 10 日至 14 日的一个密码喷洒阶段中，攻击者针对 8 个组织的 327 个账户发起超过 15.1 万次失败登录，10 月 11 日峰值达每分钟约 2900 次；该阶段未观察到成功登录。
3. ConnectWise 于 10 月 14 日发现问题，10 月 16 日发布首份安全公告；截至 10 月 21 日，受影响的应用连接已被禁用，服务正分阶段恢复，预计需要数天。
4. 中国驻美大使馆发言人回应路透社称，中国"依法反对和打击黑客活动"，同时"反对以网络安全问题为借口抹黑攻击中国"。微软对 Storm-0940 的归因是其威胁情报评估，而非独立确立的法律结论；微软同时提醒，登录成功不等同于客户数据被访问或窃取。