APT Trung Quốc dùng công cụ kiểm thử xâm nhập AI Artex để tấn công ConnectWise

Cảnh báo về mối đe dọa an ninh mạng liên quan đến Trung Quốc

Microsoft vừa công bố báo cáo cho thấy một nhóm tin tặc có liên hệ với Trung Quốc đã sử dụng framework kiểm thử xâm nhập bằng trí tuệ nhân tạo (AI) mã nguồn mở Artex để tự động hóa chiến dịch tấn công gần đây nhắm vào khách hàng của ConnectWise. Chiến dịch này ảnh hưởng đến hàng trăm tổ chức và giúp kẻ tấn công giành được quyền truy cập đặc quyền vào một số môi trường.

Storm-0940 – Nhóm APT đứng sau chiến dịch

Nhóm tin tặc này được Microsoft theo dõi với tên gọi Storm-0940, hoạt động ít nhất từ năm 2021. Đây là một nhóm APT (tác nhân đe dọa dai dẳng có chủ đích) nổi tiếng với việc sử dụng kỹ thuật password spraying (thử mật khẩu hàng loạt) và khai thác các ứng dụng tiếp xúc internet có lỗ hổng để xâm nhập vào các tổ chức thuộc nhiều lĩnh vực khác nhau.

Từ đầu tháng 9 năm 2026, nhóm tin tặc này được ghi nhận đã lạm dụng Artex để tự động hóa các cuộc tấn công. Các báo cáo trước đó của CrowdStrike, Zscaler và Recorded Future cũng đã liên kết hoạt động sử dụng AI này với các cuộc tấn công nhắm vào các tổ chức tài chính tại Hàn Quốc.

Chiến dịch nhắm vào ConnectWise

Theo Microsoft, vào giữa tháng 10, Storm-0940 đã dùng Artex để tự động hóa các cuộc xâm nhập vào môi trường của khách hàng ConnectWise. Đáp lại, ConnectWise đã tạm ngừng một số dịch vụ, bao gồm Cloud Backup, SaaS Security và Cloud Management.

Theo Microsoft: "Sau khi truy cập trái phép, Storm-0940 đã dùng Artex để thử đăng nhập vào hơn 2.250 tenant. Dù lạm dụng ứng dụng OAuth vốn là một phần công cụ quen thuộc của Storm-0940, trong trường hợp này, kẻ tấn công đã dùng Artex để tăng tốc hoạt động lên tốc độ máy."

Vào thời điểm đó, công ty bảo mật Huntress quan sát thấy kẻ tấn công sử dụng thông tin đăng nhập ứng dụng ConnectWise bị xâm phạm để truy cập hàng trăm tenant Microsoft 365, trong đó có hơn 300 tenant Entra.

Minh họa về an ninh mạng và các cuộc tấn công mạng

Tốc độ tấn công lên tới hơn 2.900 lần mỗi phút

Microsoft cho biết kẻ tấn công đã dựa vào Artex để tăng tốc các giai đoạn trinh sát, password spraying và lạm dụng ứng dụng OAuth. Chiến dịch đã tác động đến hơn 300 tài khoản thuộc 8 tổ chức với tốc độ hơn 2.900 lần thử mỗi phút.

Hãng này ghi nhận hơn 151.000 sự kiện đăng nhập thất bại liên quan đến các cuộc tấn công, nhưng đồng thời quan sát thấy việc xác thực thành công vào môi trường khách hàng bằng danh tính của nhiều ứng dụng đám mây ConnectWise.

"Trong một số môi trường này, các tác nhân AI (thay mặt kẻ tấn công) đã tiến xa hơn bước xác thực, thực hiện các thao tác với Microsoft Graph và thư mục, bao gồm trinh sát, sửa đổi thông tin đăng nhập ứng dụng để duy trì đối tượng truy cập, và thay đổi liên quan đến danh tính, nhóm cũng như các vai trò đặc quyền", Microsoft giải thích.

Microsoft cảnh báo rằng bằng cách thay đổi thông tin đăng nhập của ứng dụng, kẻ tấn công có thể đảm bảo duy trì quyền truy cập dai dẳng vào môi trường nạn nhân ngay cả sau khi ứng dụng bị ảnh hưởng đã được khắc phục.

Phạm vi ảnh hưởng rộng khắp các ngành

Kể từ đầu tháng 9, Storm-0940 đã dùng Artex trong các cuộc tấn công tự động nhắm vào hàng trăm tổ chức thuộc nhiều lĩnh vực, gồm hàng không vũ trụ, ô tô, hóa chất, quốc phòng, năng lượng, dịch vụ tài chính, chính phủ, pháp lý, sản xuất, truyền thông, quân đội, bán dẫn, phần mềm và công nghệ, cùng với các tổ chức phi lợi nhuận và các viện nghiên cứu (think tank).

Biểu tượng SecurityWeek

Khuyến nghị dành cho doanh nghiệp

Để phòng ngừa trước những chiến dịch tấn công được tự động hóa bằng AI như thế này, Microsoft đưa ra các khuyến nghị:

• Kiểm tra các lần đăng nhập của service principal, kết hợp với các hoạt động Microsoft Graph, thay đổi thư mục và truy cập tài nguyên sau đó.
• Tương quan các sự kiện đáng ngờ với hoạt động quản trị được ủy quyền để phát hiện sớm bất thường.
• Áp dụng nguyên tắc đặc quyền tối thiểu cho các ứng dụng OAuth và rà soát định kỳ các thông tin đăng nhập ứng dụng.

Riêng Zscaler cũng đã công bố một phân tích kỹ thuật chuyên sâu về các cuộc tấn công có sự hỗ trợ của AI của Storm-0940, gồm chi tiết cách nhóm này sử dụng Artex, cấu hình, script đồng bộ hóa, lịch sử prompt trong Claude Code và các công cụ định tuyến mạng.

Ý nghĩa với Việt Nam

Sự việc này cho thấy AI đang trở thành công cụ giúp kẻ tấn công đẩy nhanh tốc độ khai thác lên mức độ mà con người khó có thể theo kịp. Các doanh nghiệp Việt Nam, đặc biệt là những đơn vị sử dụng dịch vụ cloud và các công cụ quản lý từ xa như ConnectWise, cần tăng cường giám sát đăng nhập bất thường, siết chặt quyền của ứng dụng bên thứ ba và xây dựng quy trình ứng phó sự cố sẵn sàng cho các kịch bản tấn công tự động hóa quy mô lớn.