Storm-0940 và ConnectWise: 7 việc admin Microsoft 365 cần làm ngay
Storm-0940 ConnectWise là một case rất đáng chú ý với đội Microsoft 365 admin trong tuần này vì nó cho thấy AI không còn chỉ giúp defender. Trong bài nghiên cứu ngày 21/10/2026, Microsoft Security cho biết Storm-0940 đã dùng framework agentic AI ARTEX để tự động hoá password spray, reconnaissance và OAuth application abuse sau vụ xâm nhập chuỗi cung ứng ConnectWise. Điểm khiến bài này phải được ưu tiên là tốc độ: ở nhiều trường hợp, thời gian từ lúc chọn mục tiêu tới lúc giành được quyền đặc quyền trong hạ tầng cloud chỉ còn dưới 3 giờ.
Với doanh nghiệp Việt Nam đang dùng Microsoft 365 qua MSP, bài học không nằm ở chỗ “AI nguy hiểm” theo nghĩa chung chung. Vấn đề thực tế hơn là một ứng dụng bên thứ ba vốn đã được tenant cấp quyền có thể trở thành bàn đạp để kẻ tấn công chạy ở tốc độ máy, rồi đi tiếp sang Microsoft Graph, thay đổi credential ứng dụng và dựng persistence. Nếu bạn quản trị Microsoft 365, đây là lúc nên rà lại sign-in của service principal, quyền consent của ứng dụng và dấu hiệu lạm dụng Graph thay vì chỉ chờ alert kiểu đăng nhập người dùng.
Storm-0940 ConnectWise thực chất là chuyện gì?
Theo Microsoft, Storm-0940 là actor liên kết với nhà nước Trung Quốc và đã hoạt động từ năm 2021. Trong chiến dịch mới, nhóm này dùng ARTEX — một framework pentest đa agent có thể kết hợp với mô hình AI — để tăng tốc nhiều bước tấn công vốn quen thuộc: quét mục tiêu, password spraying, lạm dụng ứng dụng OAuth và hoạt động hậu xâm nhập trong môi trường cloud. Microsoft đánh giá Storm-0940 là tác nhân đứng sau vụ ConnectWise supply chain compromise liên quan tới ứng dụng multi-tenant.
Điều đáng sợ không phải là từng kỹ thuật riêng lẻ quá mới, mà là cách AI nén thời gian của cả chuỗi tấn công. Microsoft ghi nhận hơn 151.000 lần đăng nhập thất bại, hơn 2.250 tenant bị nhắm tới, 327 tài khoản bị đưa vào chiến dịch và có thời điểm vượt 2.900 lần thử mỗi phút. Quan trọng hơn, sau khi chiếm được quyền trên các ứng dụng đã có trust sẵn trong tenant, actor có thể đi thẳng vào Microsoft Graph để trinh sát, sửa credential ứng dụng và mở rộng persistence.
Vì sao đội Microsoft 365 admin phải coi đây là bài học vận hành, không chỉ là tin threat intel?
Nhiều tổ chức vẫn xem rủi ro Microsoft 365 chủ yếu là phishing, BEC hoặc tài khoản người dùng bị lộ. Nhưng case Storm-0940 ConnectWise nhắc lại một điểm rất khó chịu: tenant còn có một bề mặt tấn công ít được kiểm tra định kỳ là enterprise applications, service principals và delegated/application permissions. Khi một ứng dụng bên thứ ba đã được cấp quyền cao, kẻ tấn công không nhất thiết phải đăng nhập tương tác như người dùng nữa. Chúng có thể dùng chính trust đã tồn tại để gọi Graph API, rà đối tượng trong directory và chỉnh quyền âm thầm hơn.
Đây cũng là lý do bài này không trùng nghĩa với các bài AI security trước đó trên site. Feature family ở đây không phải “AI agent cho bảo vệ” hay “AI lab của Microsoft”, mà là AI tăng tốc chiến dịch xâm nhập thật qua ứng dụng M365 đã được cấp quyền. User outcome của người đọc cũng khác: mục tiêu không phải hiểu xu hướng AI nói chung, mà là biết admin cần kiểm tra gì ngay trong tenant Microsoft 365 khi bên thứ ba bị compromise.
ConnectWise đã công bố gì và tại sao tài liệu remediation của hãng quan trọng?
Microsoft dẫn trực tiếp tới advisory của ConnectWise và yêu cầu khách hàng giữ các kết nối bị ảnh hưởng ở trạng thái tắt cho tới khi có hướng dẫn khôi phục chính thức. Tài liệu PDF Cloud Backup technical investigation and remediation guide ngày 18/10/2026 cho thấy đây không chỉ là một thông báo ngắn. ConnectWise yêu cầu MSP và admin phải rà soát từng tenant, bảo toàn chứng cứ, kiểm tra sign-in log, audit log, credential changes và local enterprise-application status thay vì chỉ dựa vào hành động containment phía vendor.
Chi tiết này rất quan trọng vì vendor-side containment và tenant-side remediation là hai việc khác nhau. PDF của ConnectWise ghi rõ việc hãng đã vô hiệu hoá một loạt application identities vào ngày 17/10/2026 không đồng nghĩa mọi tenant downstream đã sạch. Nếu trong tenant vẫn còn credential trái phép, app role assignment bất thường hoặc dấu vết Graph activity lạ, rủi ro persistence vẫn còn sau khi ứng dụng gốc bị xử lý.
7 việc admin Microsoft 365 nên làm ngay sau case Storm-0940 ConnectWise
- Kiểm kê toàn bộ enterprise applications liên quan ConnectWise hoặc SkyKick. Dùng application ID thay vì chỉ nhìn display name, vì ConnectWise nói rõ một số cài đặt cũ có thể vẫn hiện tên SkyKick.
- Kiểm tra service principal sign-ins từ ít nhất ngày 15/10/2026. Microsoft khuyên xem riêng cả luồng sign-in thành công và thất bại, không chỉ nhìn dashboard tổng hợp.
- Rà audit log cho thay đổi credential và quyền ứng dụng. Ưu tiên các sự kiện thêm secret hoặc certificate, add owner, app role assignment, consent grant và tự gán quyền đặc quyền.
- Săn hoạt động Microsoft Graph bất thường như liệt kê thư mục, đổi credential ứng dụng, thay đổi role, hoặc truy cập mailbox và file từ IP hay ISP lạ.
- Không xoá ứng dụng ngay từ phản xạ đầu tiên. Cả Microsoft lẫn ConnectWise đều nhấn mạnh phải giữ cấu hình và chứng cứ trước khi thực hiện thao tác không thể đảo ngược.
- Đối chiếu thêm Microsoft 365 và Purview audit records để xem có dấu hiệu mail access, forwarding, Teams hoặc SharePoint enumeration hay file access bất thường hay không.
- Giảm quyền và siết consent về mức tối thiểu. Sau khi xử lý xong, đây là lúc rà lại những ứng dụng multi-tenant nào đang có quyền rộng hơn nhu cầu thật.
Nên săn gì trong log và công cụ Microsoft?
Microsoft đã gợi ý khá rõ các nguồn săn dấu vết. Với Entra, admin nên rà Microsoft Entra sign-in và audit records cho applications, nhất là service principal sign-ins, add credential, role assignment và consent activity. Với Microsoft 365, hãy xem thêm Purview Audit để tìm các hoạt động liệt kê, tải dữ liệu, mailbox, file access hoặc thay đổi policy lạ.
Nếu tổ chức đã có Microsoft Defender XDR, Microsoft cho biết nền tảng này đã có detections cho Graph activity bất thường, app self-assignment, sign-in từ hạ tầng actor đã biết và một số hành vi OAuth app đáng ngờ. Với đội incident response cần playbook xử lý ứng dụng bị compromise, tài liệu Compromised and malicious applications investigation là nơi nên lưu lại để chuẩn hoá quy trình trước khi gặp vụ việc thật.
| Vùng cần rà | Nên kiểm tra | Mục tiêu |
|---|---|---|
| Enterprise applications | Application ID, enabled state, owners, granted permissions | Biết app nào còn trust và quyền nào đang quá rộng |
| Service principal sign-ins | IP lạ, thất bại hoặc success, resource truy cập, correlation ID | Phân biệt scanning, auth thật và hoạt động hậu xâm nhập |
| Audit logs | Add secret, add owner, app role assignment, consent grant | Tìm dấu persistence và privilege escalation |
| Microsoft 365 và Purview | Mail, file, Teams, SharePoint access bất thường | Ước lượng impact thật thay vì chỉ nhìn auth event |
Bài học lớn hơn: AI đang rút ngắn cửa sổ phản ứng của defender
Điểm chiến lược nhất của case này là AI không cần tạo ra kỹ thuật đột phá để làm tình hình xấu đi. Chỉ cần nó giúp actor chạy các bước cũ ở tốc độ cao hơn, trên nhiều tenant hơn và liên tục hơn, defender đã mất lợi thế thời gian. Khi Microsoft nói có những trường hợp từ lúc target tới lúc có privileged access diễn ra trong dưới 3 giờ, thông điệp ở đây là SOC và admin không thể dựa hoàn toàn vào các quy trình phản ứng chậm, nhiều bước tay hoặc chỉ review sự kiện sau vài ngày.
Với doanh nghiệp dùng Microsoft 365 qua đối tác tích hợp, đây là lời nhắc phải đưa bài toán application trust governance vào cùng nhóm ưu tiên với MFA, Conditional Access và identity hygiene. Một tenant sạch về người dùng nhưng bừa bộn ở lớp ứng dụng vẫn có thể bị kéo vào sự cố chuỗi cung ứng khi vendor downstream bị compromise.
Kết luận
Storm-0940 ConnectWise là lời cảnh báo rất thực tế cho mọi đội quản trị Microsoft 365: khi ứng dụng bên thứ ba đã có trust trong tenant bị compromise, AI có thể biến một chuỗi tấn công quen thuộc thành chiến dịch chạy ở tốc độ máy. Việc cần làm ngay không phải là hoảng sợ vì “agentic AI”, mà là rà application permissions, service principal sign-ins, audit logs và hành vi Microsoft Graph theo đúng hướng dẫn chính thức từ Microsoft và ConnectWise.
Nếu bạn muốn theo dõi thêm các phân tích bảo mật dành cho admin và đội SecOps, hãy xem thêm tại Office365Vietnam.info.
