ARTEX ist nach Microsofts Beschreibung ein Open-Source-Framework für Penetrationstests, in dem von Sprachmodellen gesteuerte Agenten einen Angriff von der Erkundung bis zum Datenabfluss weitgehend ohne Menschen durchführen; es lässt sich mit jedem KI-Modell betreiben. Storm-0940 nutzte es, um Netze abzusuchen, massenhaft Passwörter durchzuprobieren und OAuth-Anwendungen bei nachgelagerten Opfern zu missbrauchen.
Nach dem unbefugten Zugriff auf ConnectWise Cloud Backup versuchte die Gruppe laut Microsoft, sich mit ARTEX bei mehr als 2.250 Kundenumgebungen (Mandanten) in Microsofts Cloud anzumelden. Mit den erbeuteten Anwendungs-Zugangsdaten konnten die Angreifer nach Darstellung von TechCrunch auf E-Mails und Dateien von Kunden zugreifen wie ein berechtigter Nutzer. Zwischen dem 10. und 14. Oktober zielte eine automatisierte Passwort-Spray-Kampagne auf 327 Konten in acht Organisationen; Microsoft zählte mehr als 151.000 fehlgeschlagene Anmeldungen und zeitweise über 2.900 Versuche pro Minute.
Microsoft schränkt ein, dass eine betroffene Anwendung oder eine erfolgreiche Anmeldung nicht bedeutet, dass Kundendaten abgeflossen sind; wie viele Organisationen tatsächlich Daten verloren, nennt der Bericht nicht. Die Zuschreibung an Storm-0940 ist Microsofts Einschätzung. ConnectWise hat den Zugang zum Backup-Dienst laut TechCrunch pausiert und eine Untersuchung begonnen. Microsoft rät, die betroffenen ConnectWise-Anwendungsverbindungen abgeschaltet zu lassen und Anmeldungen von Anwendungsidentitäten seit dem 1. Oktober zu prüfen.