Microsoft liga ataque à cadeia de suprimentos da ConnectWise a grupo alinhado à China usando ferramenta de IA
Framework de IA ARTEX automatizou abuso de OAuth em alta escala, atingindo mais de 2.250 locatários e reduzindo tempo de resposta de defensores para minutos.
A Microsoft divulgou nesta quarta-feira que o grupo Storm-0940, alinhado à China, usou o framework de IA ARTEX para explorar uma falha na ConnectWise Cloud Backup e atacar ambientes Microsoft 365 a jusante.
Segundo a Microsoft, o ARTEX executou workflows autônomos que realizaram campanhas de password-spray, reconhecimento e abuso de OAuth/service principal, gerando picos de até cerca de 2.900 tentativas de login por minuto e alcançando mais de 2.250 locatários.
Em alguns casos, os atacantes avançaram do acesso inicial para privilégios elevados na nuvem em menos de três horas. A Microsoft observou modificações de credenciais e papéis para estabelecer acesso persistente e de alto nível em setores diversos.
A ConnectWise informou que começou a investigar o acesso não autorizado em 16 de outubro, suspendeu temporariamente os serviços afetados e iniciou restaurações em fases nesta semana. A empresa orientou clientes a manterem as conexões desativadas durante a recuperação.
O incidente ressalta um risco crescente de uso dual: o ARTEX foi disponibilizado como código aberto em julho, esteve ligado a invasões anteriores na Coreia do Sul que afetaram cerca de 68.000 pessoas, depois passou a ser fechado após uso indevido e agora tem sido reutilizado por vários atores. A Microsoft recomenda auditar permissões de service principals e aplicar as detecções que publicou.