Microsoft ชี้ Storm-0940 กลุ่มที่สอดคล้องกับรัฐจีนอยู่เบื้องหลังการเจาะห่วงโซ่อุปทาน ConnectWise Cloud Backup — ใช้เอเจนต์ AI ของ ARTEX ยิงล็อกอิน 2,900 ครั้งต่อนาทีใส่กว่า 2,250 tenant

สรุปสั้น

บริษัท Microsoft เปิดเผยเมื่อวันที่ 21 ตุลาคม 2569 ว่ากลุ่มผู้โจมตีที่สอดคล้องกับรัฐจีนชื่อ Storm-0940 อยู่เบื้องหลังการเจาะห่วงโซ่อุปทานผ่านแอปพลิเคชัน Cloud Backup ของบริษัท ConnectWise ซึ่งเคยรายงานไว้ก่อนหน้านี้ว่าผู้โจมตีที่ยังไม่ทราบตัวตนขโมยข้อมูลรับรองของแอปไปใช้เข้า Microsoft 365 tenant ของลูกค้า (2026/10/167 ) ระหว่างการโจมตี Storm-0940 ใช้ ARTEX เฟรมเวิร์กทดสอบเจาะระบบด้วยเอเจนต์ AI ที่เขียนด้วยภาษา Go เพื่อเร่งการสแกน การสอดแนม การ password spray และการใช้แอป OAuth ในทางมิชอบต่อเหยื่อปลายทาง

Microsoft ระบุว่ากลุ่มนี้ใช้เครื่องมือ AI ทำงานด้วย “ความเร็วระดับเครื่องจักร” ไล่โจมตีองค์กรหลายร้อยแห่งทั่วโลกตั้งแต่เดือนกันยายน 2569 ครอบคลุมหลายภาคส่วนตั้งแต่อากาศยานและกลาโหม พลังงาน การเงิน รัฐบาล กฎหมาย เซมิคอนดักเตอร์ ไปจนถึงสถาบันวิจัยนโยบาย การโจมตีบางส่วนได้สิทธิ์ระดับสูงในโครงสร้างคลาวด์ขององค์กร และมีหลายกรณีที่ใช้เวลาไม่ถึง 3 ชั่วโมงนับจากเริ่มเล็งเป้าจนได้สิทธิ์ระดับสูง ในเหตุ ConnectWise เอเจนต์ของ ARTEX พยายามล็อกอินกว่า 2,250 tenant ด้วยอัตรา 2,900 ครั้งต่อนาที ซึ่ง Microsoft ชี้ว่าเหลือเวลาให้ฝ่ายป้องกันตรวจจับและตอบสนองน้อยมาก

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 22 ตุลาคม 2569 ว่า Microsoft บันทึกแคมเปญ password spray ข้าม tenant แบบอัตโนมัติจากโครงสร้างพื้นฐานของ Storm-0940 ที่ IP 144.172.64[.]99 ระหว่างวันที่ 10–14 ตุลาคม 2569 ซึ่งเล็ง 327 บัญชีใน 8 องค์กรเพื่อเข้า Microsoft 365 และ Exchange Online ช่วงนั้นเกิดการล็อกอินล้มเหลวกว่า 151,000 ครั้ง สูงสุดในวันที่ 11 ตุลาคมที่ 2,900 ครั้งต่อนาที รวมกว่า 111,000 ครั้งในวันเดียว และมี 48 บัญชีที่ถูกยิงล้มเหลวเกิน 1,000 ครั้ง แต่ช่วงนั้นยังไม่พบการยืนยันตัวตนสำเร็จ การออก token การเรียก Graph หรือการเปลี่ยนแปลงไดเรกทอรี

สถานการณ์เปลี่ยนไปเมื่อวันที่ 15 ตุลาคม 2569 เมื่อเอเจนต์ AI ได้ตัวตน (identity) ของแอปคลาวด์หลายตัวของ ConnectWise และเริ่มใช้ยืนยันตัวตนเข้าสภาพแวดล้อมของลูกค้า Microsoft ระบุว่าเอเจนต์ยังใช้ช่วง IP เดิมยืนยันตัวตนต่อ “โดยอาศัยความไว้วางใจที่แอปเหล่านี้มีอยู่แล้วใน tenant” และในบางกรณีก็ไปไกลกว่าการยืนยันตัวตน ทั้งการเรียก Microsoft Graph และการทำงานกับไดเรกทอรี เช่น การสอดแนม การแก้ credential ของแอปเพื่อคงการเข้าถึง และการเปลี่ยนแปลงตัวตน กลุ่ม และบทบาทสิทธิ์สูง

Storm-0940 ถูก Microsoft รายงานครั้งแรกในเดือนพฤศจิกายน 2567 ว่าใช้บอตเน็ต Quad7 (หรือ CovertNetwork-1658) ทำ password spray แบบหลบเลี่ยงการตรวจจับ กลุ่มนี้เคลื่อนไหวมาตั้งแต่อย่างน้อยปี 2564 มักเจาะแอปพลิเคชันที่เปิดสู่อินเทอร์เน็ตเพื่อเข้าถึงครั้งแรก ใช้บัญชีที่ยึดได้เคลื่อนที่ในสภาพแวดล้อมเป้าหมาย และคงการเข้าถึงด้วยการเพิ่ม credential ลงในแอป OAuth ที่มีอยู่แล้วเพื่อเข้าทรัพยากร Microsoft 365

ด้าน ConnectWise ระบุว่ากิจกรรมนี้ “เป็นแคมเปญที่กว้างเกินกว่าบริษัทใดบริษัทหนึ่ง” และ “ผู้โจมตีระดับรัฐเล็งห่วงโซ่อุปทานซอฟต์แวร์มากขึ้น เพราะการเชื่อมต่อที่ไว้วางใจเพียงจุดเดียวเปิดประตูสู่องค์กรจำนวนมาก” บริษัทชี้ว่า MSP เป็นทั้งเป้าหมายในตัวเองและเป็นทางผ่านไปยังลูกค้าทุกรายที่ดูแล ConnectWise ซึ่งปิดบริการชั่วคราวหลังการโจมตี กำลังทยอยเปิดบริการกลับแบบเป็นระยะ ซึ่งคาดว่าจะใช้เวลาหลายวัน

วิธีการโจมตี

ARTEX เป็นเฟรมเวิร์กทดสอบเจาะระบบแบบเอเจนต์ AI ที่ถูกเปลี่ยนเป็นซอฟต์แวร์ปิดซอร์สหลังถูกนำไปใช้โจมตีสถาบันการเงินในเกาหลีใต้ (2026/10/055 ) ในเหตุ ConnectWise เครื่องมือนี้เร่งการใช้แอปที่ถูกยึดเพื่อยืนยันตัวตนเข้าสภาพแวดล้อมเป้าหมายผ่านแอปที่ได้รับสิทธิ์ไว้แล้ว ผู้โจมตีจึงทำงานได้โดยไม่ต้องมีผู้ใช้ล็อกอินแบบโต้ตอบ กิจกรรมต่อเนื่องที่ AI เร่งให้รวมถึงการสอดแนม การเปลี่ยน credential ของแอป และการพยายามแก้สิทธิ์เพื่อขยายหรือคงการเข้าถึง

Microsoft เตือนว่าการแก้ credential ของแอปในสภาพแวดล้อมของเหยื่อ “อาจนำไปสู่การคงอยู่ผ่านตัวตน ข้อมูลรับรอง และบริการคลาวด์อื่น ๆ” และ “อาจยังทำงานเป็นประตูหลังต่อไป แม้แอปที่ถูกยึดตัวแรกจะได้รับการแก้ไขแล้ว” ซึ่งสอดคล้องกับที่ Huntress เคยพบว่าแอปที่ถูกยึดมอบบทบาท Global Administrator ให้ตัวเองแล้วฝัง secret ใหม่ไว้ในแอปอื่นของ tenant Microsoft ยังระบุว่าพบผู้โจมตีจากหลายภูมิภาคนำ ARTEX ไปใช้ ไม่ใช่เฉพาะ Storm-0940

ข้อมูลจากผู้ให้บริการรายอื่นช่วยขยายภาพของ ARTEX กลุ่ม Insikt Group ของบริษัท Recorded Future ติดตามผู้โจมตีที่เจาะสถาบันการเงินเกาหลีใต้ภายใต้ชื่อ TAG-217 และพบกิจกรรมย้อนไปถึงวันที่ 17 สิงหาคม 2569 (2026/10/174 ) ขณะที่ Zscaler ThreatLabz พบว่าแคมเปญเดียวกันเล็งองค์กรทั่วโลกแบบฉวยโอกาส จากการวิเคราะห์ ARTEX ที่ปรับแต่งเอง ซึ่งมีค่าตั้งผู้ช่วย AI สคริปต์ซิงก์ เครื่องมือ routing เครือข่าย และประวัติ prompt ของ Claude Code นาย Seongsu Park นักวิจัยของ Zscaler ระบุว่า ARTEX ตั้งค่าให้ใช้โมเดล DeepSeek ผ่าน gateway ที่เข้ากันได้กับ OpenAI และมีค่าตั้งอื่นที่ใช้ DeepSeek, GLM และ Grok โดย prompt สั่งให้โมเดลแบ่งงานสืบค้นและตรวจผลงานของกันและกัน เช่น ให้ GLM ตรวจงานของ DeepSeek และเอเจนต์ย่อย ประวัติ prompt ยังมีคำขอข้อมูลส่วนบุคคลและธุรกรรมจำนวนมาก คำถามเรื่องการขายข้อมูลที่ขโมยมา การดึง API key ของ payment gateway และการเจาะขั้นตอน mint NFT ซึ่งบ่งชี้แรงจูงใจด้านการเงิน

ข้อควรระวังด้านหลักฐานคือ Microsoft เชื่อมโยงเหตุ ConnectWise กับ Storm-0940 ส่วนกิจกรรมที่ Recorded Future และ Zscaler รายงานเป็นของคลัสเตอร์ TAG-217 ซึ่งใช้เครื่องมือเดียวกัน แหล่งข่าวไม่ได้ระบุชัดว่าเป็นกลุ่มเดียวกันหรือไม่ และแรงจูงใจด้านการเงินที่เห็นจาก prompt ก็มาจากฝั่ง TAG-217 ไม่ใช่ Storm-0940

ผลกระทบ

เหตุนี้เป็นตัวอย่างชัดเจนว่าเอเจนต์ AI ย่นระยะเวลาการโจมตีห่วงโซ่อุปทานลงอย่างมาก เมื่อผู้โจมตีได้ตัวตนของแอปที่ MSP หรือผู้ขายซอฟต์แวร์ติดตั้งไว้ในลูกค้าหลายพันราย AI ก็ไล่ใช้สิทธิ์นั้นกับทุก tenant ได้พร้อมกันตลอด 24 ชั่วโมง Microsoft ชี้ว่าเอเจนต์ “ไม่ถูกจำกัดด้วยปัจจัยแบบมนุษย์ ทำงานได้ทั้งกลางคืน วันหยุด และลองหลายเส้นทางพร้อมกัน” ช่วงเวลาที่ฝ่ายป้องกันเคยมีหลายวันจึงเหลือเพียงไม่กี่ชั่วโมง

องค์กรที่ติดตั้งแอปของ ConnectWise ใน Microsoft 365 ยังเสี่ยงต่อเนื่องแม้ ConnectWise จะปิดแอปไปแล้ว เพราะ credential ที่ฝังไว้ในแอปอื่นและบทบาทสิทธิ์ที่ถูกแก้ไม่ได้ถูกย้อนกลับเอง ภาคส่วนที่ Storm-0940 เล็งยังรวมถึงกลาโหม รัฐบาล และเซมิคอนดักเตอร์ ซึ่งบ่งชี้เป้าหมายด้านข่าวกรองควบคู่ไปด้วย

คำแนะนำ

• องค์กรที่เคยติดตั้งแอปของ ConnectWise หรือ SkyKick ใน Microsoft 365 ให้ไล่ตรวจ service principal ทุกตัวที่มี credential หรือ secret ถูกเพิ่มตั้งแต่วันที่ 10 ตุลาคม 2569 และลบ credential ที่ไม่รู้ที่มา
• ตรวจการมอบบทบาทสิทธิ์สูง (Global Administrator, Application Administrator) ให้แอปและบัญชี รวมถึงการเปลี่ยนแปลงกลุ่มและตัวตนในช่วงเดียวกัน
• ค้นหา sign-in log และ audit log ที่มาจาก IP ในตาราง IoCs ซึ่ง Microsoft ระบุว่าเอเจนต์ใช้ช่วง IP เดียวกันต่อเนื่องตลอดแคมเปญ
• ตั้งการแจ้งเตือนเมื่อมีการล็อกอินล้มเหลวจำนวนมากในเวลาสั้น ๆ และบังคับ MFA ที่ต้านฟิชชิงกับบัญชีทุกตัว
• ใช้ Conditional Access กับ workload identity เพื่อจำกัด IP และเงื่อนไขที่แอปของบุคคลที่สามยืนยันตัวตนได้ และทบทวนสิทธิ์ของแอปให้เหลือเท่าที่จำเป็น
• MSP ควรประเมินสิทธิ์ที่ตัวเองถือในลูกค้าแต่ละราย และเตรียมขั้นตอนเพิกถอนการเข้าถึงข้าม tenant อย่างรวดเร็วเมื่อเกิดเหตุ

Indicators of Compromise (IoCs)

indicator ทั้งหมด defang แล้ว ([.]) ก่อนนำไปใช้ต้องแปลงกลับ

แหล่งอ้างอิง

• Microsoft — Storm-0940 uses ARTEX agentic AI in ConnectWise supply chain compromise
• Zscaler ThreatLabz — Inside a global AI-assisted hacking campaign
• Recorded Future — TAG-217 ARTEX South Korean banks
• The Hacker News — China-Linked Hackers Use ARTEX AI Agents in ConnectWise Supply Chain Attack