Ang SI Attack Wave: Microsoft and FrowStrike Detail Agentic SI I Intrusions as a Maximum-Severity GitLab Flaw at isang Backdoored LitLLM Release Land in the Only Week
Sa isang report ng pagbabanta-intelligence na inilathala noong Oktubre 21, ang Microsoft ay nagpalagay na ang kamakailang ConnectWise supply-chain influence kay Storm-0940, isang China-align na aktor. Ayon sa Microsoft, ang grupo ay gumamit ng ARTEX, isang open-source agentic SIfficle-testing frameion, hanggang automate republic, malaking-scale password spraying at OAuth application experience, sinusubukan ang mga sign-ins sa higit sa 2,250 drosoft 365 mga nangungupahan sa pamamagitan ng ConnectWise application championed sa mga rate na umaabot sa halos 1,900 pagtatangka sa bawat minuto. Isang password-sprayer phase mula Oktubre 10 hanggang 14 target 327 account sa walong organisasyon at lumikha ng higit sa 151,000 nabigo logon, na walang matagumpay na sign-in na napagmasdan. Sa ibayo ng mas malawak na kampanya, ang ilang panghihimasok ay sumulong mula sa unang pag - asinta tungo sa may pribilehiyong pagpasok ng ulap sa loob ng wala pang tatlong oras. Ang Microsoft ay nagbabala rin na ang isang matagumpay na sign-in ay hindi sa ganang sarili ay nagpapatibay na ang data ng parokyano ay na-access o ninakaw. Sinimulang baguhin ng ConnectWise ang apektadong mga serbisyo noong Oktubre 21.
Isang ulat mula sa kompanya ng cybersecurity na FrowStrike, na sumasaklaw sa Mayo hanggang Agosto 2026, ang nagreport ng apat na operator na nagpapatakbo ng mga kampanyang agentic SI. Isang Espanyol- at English-speak operator ay gumamit ng dual-agent guest na muling itinayo mula sa open-source PentestGPT proyekto upang ikompromiso ang hindi bababa sa 15 organisasyon ng healthcare sa Argentina, exfilting clients at medikal rekord mula sa hindi bababa sa isang biktima. Ang isang Tsino-pagbigkas operator ay may higit sa 20 na pinangalanang mga pandaigdigang target at nakompromisong mga korporasyon ng pamahalaan sa dalawang bansa. Ang natitirang dalawang operator ay nagsasalita ng Indonesian at Ruso. Sinabi ng FrowStrike na ang mga kampanya ay namumukod-tangi dahil ang mga ahente ng SI ay hindi lamang nagtayo ng mga kagamitan; sila ay gumawa ng mga desisyon at naglapat ng mga utos sa panahon ng mga pag-atake.
Ang paggawa ng mga kagamitan at imprastraktura ng SI ay tinamaan sa parehong linggo. Noong Oktubre 21, inilabas ng GitLab ang mga fix para sa CVE-2026-110264, isang may kahinaang rated 10.0, ang maximum CVSS score. Dahil sa pag-apaw ng isang integer sa panahon ng regular na-expression competition, ang depekto ay maaari, sa ilalim ng ilang mga kondisyon, na ang isang hindi-accessed na gumagamit ay maggawad ng integrated code sa mga self-maned servers, at ito ay umaabot sa ibayo ng 12 taon ng mga release upang bersyon 7.0 sa 2014. Ang mga nakapirmeng bersyon ay 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 at 18.11.13; GitLab.com ay nagpapatakbo na ng fix, at ang GitLab ay hindi nag-uulat na ang kapintasan ay pinagsamantalahan.
Sa hiwalay na paraan, ang bersiyong 1.107.0 ng LitelLM, isang kagamitan sa pintuang - daan ng SI, ay ipinadala sa pamamagitan ng isang credenty steal at isang backdoor. Ang pagpapalabas ay inalis sa PyPI sa 13:23 UTC noong Oktubre 21, oras matapos itong lumitaw, at ang mga apektadong larawan ng Docker ay inalis o muling inilagay sa malinis na mga gusali. Ang mga nagreresulta ay nagpapayo sa mga gumagamit ng open-source na i- pindutan ang bersyong 1.106.2 o iba pang pre-incident release; ang mga parokyano ng negosyo na humihila mula sa pribadong rehistro ng LitLLM ay hindi naapektuhan. Ang Cloud depostment platform na Zeabur, na nakaranas ng mga sira noong Agosto at muli noong Oktubre 14-15, nang halos 3.2 milyong mga environment-variable records ay nabasa, ay naghayag na ito ay sarhan sa Disyembre 31, na may mga revivals na may kapansanan at partite-cluster na serbisyo tumigil simula Disyembre 1.
Source: GSM · United States (Edisyong Ingles · Orihinal na edisyong Tsino)
Larawan: 美国空军第616作战中心。（Wikimedia Commons，Public domain，U.S. Air Force photo by Vincent Childress）The U.S. Air Force 616th Operations Center. (Wikimedia Commons, Public domain, U.S. Air Force photo by Vincent Childress)
