微软：Storm-0940 用开源智能体渗透框架 ARTEX 打穿 ConnectWise 供应链
微软安全博客 10 月 21 日披露，被其编号为 Storm-0940 的行为体自 2026 年 9 月起，用开源智能体式渗透测试框架 ARTEX 自动化攻击全球数百家组织，行业覆盖航空航天与国防、汽车、化工、能源、金融、政府、半导体、软件与智库等十余类；其中多起攻击从选定目标到拿到云基础设施的特权访问不到 3 小时。
微软同时把近期 ConnectWise 多租户应用供应链泄露归到该行为体名下，称 ARTEX 在其中加速了扫描侦察、口令喷洒与对下游受害者的 OAuth 应用滥用：攻击者借已被授权过的应用直接认证 Microsoft 365 租户，不需要交互式登录，随后经 Microsoft Graph 做侦察、修改应用凭据、尝试改权限以维持访问。ARTEX 本身是 Go 写的多智能体 LLM 系统、Next.js 前端，可接任意模型驱动。
几处边界要写清：「中国国家关联」是微软的归因判断，公告没有给出可独立核验的证据细节，也未公布受害者名单；微软明确说这起活动并非源于其自身产品或服务的漏洞，且「存在受影响应用或攻击者登录成功」不等于客户数据被访问或外泄。同一框架 10 月初已出现在韩国金融业攻击的调查里，官方给的处置建议集中在核查服务主体登录与异常的应用凭据、权限变更。
原文链接：微软安全博客
核验记录
单页直读 200 / 330,165 字节；JSON-LD datePublished 与 article:published_time 同为 2026-10-21T18:23:55+00:00（= 10-22 02:23 CST），URL 路径亦为 /2026/10/21/。该页 og:image 是站点威胁情报系列的通用配图（2026-05 上传的 MS_Actional-Insights_Storm.jpg，1000x562），非本案实拍，故不采用、留空走品牌占位（R4）。「China-state aligned」为微软定性，本机无法独立核验；「数百家组织」「不到 3 小时」均为公告原文表述，无第三方复现。