Microsoft zveřejnil analýzu kampaně skupiny Storm-0940, kterou spojuje s Čínou. Útočníci využívali agentní framework ARTEX k automatizaci průzkumu, pokusů o přihlášení a zneužívání oprávnění aplikací. Firma skupině připisuje také nedávné napadení dodavatelského řetězce ConnectWise. V několika případech podle její telemetrie uplynuly od výběru cíle k privilegovanému přístupu do cloudu méně než tři hodiny.
Důležitou cestou nebylo jen heslo člověka, ale důvěra, kterou organizace dříve udělily připojeným aplikacím. Zneužité identity umožňovaly další operace v Microsoft Graph. Úspěšné přihlášení přitom samo o sobě nedokazuje odcizení dat. Obránci mají prověřit přihlášení aplikačních identit, změny přihlašovacích údajů a oprávnění, uchovat důkazy a řídit se pokyny ConnectWise k omezení incidentu.
