Microsoft ชี้ Storm-0940 กลุ่มที่สอดคล้องกับรัฐจีน อยู่เบื้องหลังเหตุ ConnectWise — ใช้เอเจนต์ ARTEX พยายามล็อกอินกว่า 2,250 tenant ของ Microsoft 365 ด้วย app credential ที่ขโมยมา บางรายจากเป้าหมายถึงสิทธิ์ admin ไม่ถึง 3 ชม.

Microsoft Threat Intelligence และ Microsoft Security Research เผยแพร่รายงานเมื่อ 21 ต.ค. 2026 ระบุว่ากลุ่ม Storm-0940 ซึ่ง Microsoft อธิบายว่าเป็น “China-state aligned actor” ที่เคลื่อนไหวมาตั้งแต่ปี 2021 คือผู้อยู่เบื้องหลัง เหตุ supply chain ของ ConnectWise ที่เพิ่งเปิดเผย และกลุ่มนี้ใช้ ARTEX เฟรมเวิร์ก pentest แบบเอเจนต์ AI ทำงานแทนคนแทบทุกขั้น ตั้งแต่สแกน, password spray ไปจนถึงใช้สิทธิ์ของ OAuth app ที่ลูกค้าเคยอนุญาตไว้

ARTEX เป็นเครื่องมือเดียวกับที่เรา รายงานไปเมื่อ 10 ต.ค. ในคดีเจาะสถาบันการเงินเกาหลีใต้ ตอนนั้นผู้พัฒนาประกาศปิด repo ไปแล้ว รายงานของ Microsoft ยืนยันสิ่งที่เราคาดไว้ว่า การปิด repo ไม่ได้หยุดการใช้งาน Microsoft พบผู้โจมตี “จากหลายภูมิภาค” ใช้ ARTEX อยู่ และ Storm-0940 ก็เริ่มใช้ตั้งแต่ ก.ย. ซึ่งเป็นช่วงก่อนที่เรื่องเกาหลีจะเป็นข่าว

ไทม์ไลน์ตามรายงานของ Microsoft

• ก.ย. 2026 — Storm-0940 เริ่มใช้ ARTEX โจมตีองค์กร “หลายร้อยแห่งทั่วโลก” ทั้งกลาโหม การเงิน พลังงาน เซมิคอนดักเตอร์ ซอฟต์แวร์ หน่วยงานรัฐ และ think tank บางรายใช้เวลา ไม่ถึง 3 ชั่วโมง ตั้งแต่เลือกเป้าหมายจนได้สิทธิ์ privileged บนคลาวด์
• 10–14 ต.ค. — IP 144.172.64[.]99 ทำ password spray ข้าม tenant ใส่ 327 บัญชีใน 8 องค์กร มี failed logon กว่า 151,000 ครั้ง พีคที่ 2,900 ครั้ง/นาทีในวันที่ 11 ต.ค. แต่ ไม่มีการล็อกอินสำเร็จเลย
• 15–16 ต.ค. — รายงานว่า ConnectWise ถูกเจาะเริ่มปรากฏ และ advisory ของ ConnectWise (16 ต.ค.) มี IP ที่ตรงกับเครื่องที่ทำ password spray
• หลังจากนั้น — เอเจนต์ใช้ตัวตนของแอป ConnectWise บนคลาวด์ที่ขโมยมา พยายามล็อกอิน มากกว่า 2,250 tenant ด้วยความเร็วถึง 2,900 ครั้ง/นาที โดยไม่ต้องมีผู้ใช้ล็อกอินเลย เพราะแอปได้รับสิทธิ์ไว้ใน tenant เหล่านั้นอยู่แล้ว ใน tenant ที่เข้าได้ เอเจนต์ใช้ Microsoft Graph ทำ recon, เพิ่ม credential ให้แอป เพื่ออยู่ต่อ และแก้ identity, group และ privileged role

Microsoft ย้ำว่าไม่ได้เกิดจากช่องโหว่ในระบบหรือผลิตภัณฑ์ของ Microsoft และการล็อกอินสำเร็จ “ไม่ได้แปลว่าข้อมูลถูกเข้าถึงหรือขโมยไปแน่นอน” Microsoft ยังไม่เปิดเผยว่ามีลูกค้าโดนจริงกี่ราย The Register รายงานเพิ่มว่า ConnectWise ปิดบริการ Cloud Backup, SaaS Security และ Cloud Management ชั่วคราว

ARTEX คืออะไรในมุมของ Microsoft

Microsoft อธิบายว่า ARTEX เป็น ระบบ multi-agent เขียนด้วย Go มี frontend เป็น Next.js ใช้กับ “AI model ใดก็ได้” รัน pentest อัตโนมัติตั้งแต่ recon ไปจนถึง data exfiltration โดยแทบไม่ต้องมีคนคุม และเก็บ asset กับช่องโหว่ที่เจอไว้เป็น graph UI เปลี่ยนเป็นภาษาเกาหลี จีนกลาง สเปน หรือญี่ปุ่นได้ Microsoft ยอมรับว่าทราฟฟิกจำนวนมากแบบนี้ มักทำให้เกิด alert อยู่แล้ว แต่ปัญหาคือ ความเร็ว เพราะ defender มีเวลาน้อยมากที่จะตอบสนองให้ทันก่อนผู้โจมตีฝัง persistence

ถ้าองค์กรคุณใช้ ConnectWise กับ Microsoft 365

คำแนะนำหลักจาก Microsoft:

• ปิดการเชื่อมต่อแอป ConnectWise ที่ได้รับผลกระทบไว้ก่อน จนกว่า ConnectWise จะประกาศวิธีกู้คืนอย่างเป็นทางการ
• อย่าลบ enterprise application เป็นอย่างแรก ให้เก็บ config และหลักฐานไว้ก่อน
• ค้นหาตาม application ID ไม่ใช่ display name ในทุก tenant ที่เคยติดตั้ง แม้จะเลิกใช้แล้ว
• ตรวจ sign-in ของ service principal ย้อนหลังอย่างน้อยถึง 15 ต.ค. (ถ้ามี log ให้ย้อนไปถึง 1 ต.ค.) แยกดูกรณีที่สำเร็จกับที่ล้มเหลว และ อย่าดูแค่ IP ที่ประกาศไว้
• ตรวจ Entra audit log หา credential ที่ถูกเพิ่มให้แอป, owner ใหม่, consent grant, role assignment และการแก้ Conditional Access เพราะ backdoor พวกนี้ยังอยู่ได้แม้จะปิดแอปต้นทางไปแล้ว

มุมมอง AI Curator

ตัวเลขที่ควรจำจากรายงานนี้คือ password spray 151,000 ครั้งสำเร็จ 0 ครั้ง แต่พอได้ app credential ของ vendor ที่ลูกค้าไว้ใจ เอเจนต์ก็เข้าได้หลาย tenant ภายในไม่กี่ชั่วโมง AI ไม่ได้ทำให้การเจาะรหัสผ่านเก่งขึ้น สิ่งที่มันเปลี่ยนคือ ความเร็วในการใช้ประโยชน์ทันทีที่มีกุญแจหลุด ช่วงเวลาระหว่าง “vendor ถูกเจาะ” กับ “ลูกค้าทุกรายถูกฝัง backdoor” สั้นลงจากหลายวันเหลือหลายชั่วโมง ทำให้แผนรับมือเหตุการณ์ที่ต้องรอประชุมก่อนลงมือใช้ไม่ได้อีกต่อไป

สำหรับองค์กรไทยที่ใช้ Microsoft 365 และมี MSP หรือ SaaS ภายนอกจำนวนมากเชื่อมเข้ามาผ่าน OAuth (ซึ่งเกือบทุกที่เป็นแบบนั้น) งานที่ควรทำสัปดาห์นี้แม้จะไม่ได้ใช้ ConnectWise คือ ไล่ดูรายการ enterprise app ว่ามีแอปไหนได้สิทธิ์ระดับ tenant-wide เกินจำเป็น แอปที่ได้ Directory.ReadWrite.All หรือ Application.ReadWrite.All คือแอปที่ถ้า vendor ถูกเจาะ ผู้โจมตีก็ได้ tenant ของคุณไปด้วย และ ARTEX ทำให้ผู้โจมตีไม่จำเป็นต้องมีคนพอจะไล่เข้าทีละ tenant อีกแล้ว

เรื่องนี้ยังเชื่อมกับข่าวช่วงเดียวกันได้ ทั้ง LiteLLM ที่โดนผ่าน token ของ GitHub CLI และ PHP2Shell ที่ใช้ AI ช่วยหาช่องโหว่ ภาพรวมคือ ทั้งฝั่งรุกและฝั่งรับใช้เอเจนต์เต็มตัวแล้ว คำถามสำหรับทีม security ในไทยคือ SOC ของเรามี automation ที่ตอบสนองได้ระดับนาทีหรือยัง หรือยังรอให้คนเปิดดู alert ในเช้าวันรุ่งขึ้น

แหล่งข่าว

• Microsoft Security Blog — AI-driven, large-scale nation-state campaign using ARTEX enables supply chain compromise
• The Register — Microsoft says ConnectWise breach let Chinese spies loose on 2,250 cloud tenants
• AI Curator — ARTEX ในคดีเจาะธนาคารเกาหลีใต้ (10 ต.ค. 2026)