Huntress 分析 ConnectWise 攻击：疑似 AI 智能体全天三模式作案
cyb3rops · x · 2026-10-27
Huntress 发布对 ConnectWise 云备份凭证滥用入侵 Microsoft 365 租户事件的后续分析。微软已将活动归因于 Storm-0940 并使用 AI 智能体框架 ARTEX；Huntress 遥测与此一致但无法独立验证。
其工作假设是：AI 智能体驱动脚本化工具、偶尔有人工介入。10 月 15 日一天内观察到三种运作模式（见配图时间线）：
- 脚本化枚举：Teams 应用逐租户重复同一流程；备份凭证在约 2.5 小时内遍历近 1000 个租户；13:54 起以固定六资源探测、每租户约 4 秒批量扫描。
- 人工操作：在两个租户中添加/移除密钥、授予又撤销 Global Admin；随后人工挑选 15 个租户逐个操作。
- 「幽灵」执行：Teams 应用删除自身后，任务仍持续被拒并重试达 22 分钟。
Huntress 对「是否涉及 LLM」仅为中低置信度判断，依据是节奏、重试循环与 user agent 等模式；但这些 AI 使用指标会随工具改进而消失，防御者应检测行为本身而非节奏。
「安全」频道最新
- SkillHarm 基准:智能体技能投毒攻击最高成功率 86.3% — hhsun1 · 2026-10-27
- Vals AI 创始人访谈:模型评测科学、实验室自监管与谁先到达递归自我改进 — JenniferHli · 2026-10-27
- 个人智能体被跳过的问题：DeepMind 报告的“四方对齐”框架 — sujingshen · 2026-10-27
- 网友用 Claude Code 取证称 TikTok 等应用在偷听语音投放信息流 — AIandDesign · 2026-10-27
- AEGIS 开源 MCP 网关:一次性审批绑定精确参数防误调用 — Leather_Tour_794 · 2026-10-27
- 波士顿动力员工请愿叫停向 ICE 出售机器狗 — greyface- · 2026-10-27