Microsoft atribui ataque à cadeia de suprimentos da ConnectWise a grupo Storm‑0940 e framework de IA
Grupo alinhado à China usou framework agentivo ARTEX para roubar credenciais de aplicações e abrir backdoors em milhares de tenants Microsoft 365.
A Microsoft publicou em 21 de outubro um relatório técnico dizendo que o comprometimento do ConnectWise Cloud Backup foi obra do grupo alinhado à China rastreado como Storm‑0940, que automatizou as operações com o framework agentivo de IA chamado ARTEX.
Segundo a empresa, entre 10 e 14 de outubro houve uma campanha automatizada de password‑spray que atingiu 327 contas e gerou mais de 151.000 tentativas de login fracassadas, com pico de cerca de 2.900 falhas por minuto.
Nos dias 15 e 16 de outubro, o Storm‑0940 explorou o ambiente Cloud Backup da ConnectWise para roubar identidades OAuth/identidades de aplicação. Com essas credenciais, a ação tentou acessos a mais de 2.250 tenants Microsoft 365, em ritmo aproximado de 2.900 tentativas por minuto.
Em vários ambientes atacados, os agentes de IA foram além das tentativas de login: realizaram reconhecimento via Microsoft Graph, modificaram credenciais de aplicações para estabelecer persistência e alteraram identidades, grupos e funções privilegiadas — mudanças que podem deixar backdoors mesmo depois de revogada a conexão original.
A Microsoft afirma que o ARTEX tornou‑se fechado após uso indevido, mas cópias e forks se espalharam. A empresa recomenda que equipes de segurança mantenham desabilitadas conexões afetadas da ConnectWise, preservem conexões de aplicações para perícia forense e auditem adições de credenciais de service principals e permissões de apps OAuth desde o início de outubro.