INCIDENTE
Microsoft atribuye a Storm-0940 el ataque a ConnectWise y el uso de IA para acelerar el compromiso
El grupo chino Storm-0940 usó el framework de pentesting con IA ARTEX para atacar 2.250 tenants de Microsoft 365 y acceder a entornos en la nube en menos de tres horas, según Microsoft.
Microsoft atribuyó formalmente el compromiso de ConnectWise Cloud Backup al grupo Storm-0940, alineado con el estado chino, y reveló que el actor utilizó ARTEX, un framework de pentesting impulsado por IA de código abierto, para atacar 2.250 tenants de Microsoft 365 a velocidad de máquina. En varios casos documentados, el tiempo entre el targeting inicial y la obtención de acceso privilegiado a la infraestructura en la nube fue inferior a tres horas.
Entre el 10 y el 14 de octubre, Storm-0940 lanzó un ataque de password spraying contra 327 cuentas en ocho organizaciones, con más de 151.000 intentos de login fallidos y un pico de 2.900 intentos por minuto el 11 de octubre. Ninguno de esos intentos tuvo éxito, según el reporte de Microsoft.
El 15 de octubre, un día después de que la brecha de ConnectWise se hiciera pública, el grupo cambió de táctica: los agentes de IA dejaron de probar contraseñas y pasaron a utilizar credenciales robadas de ConnectWise para acceder directamente a entornos Microsoft 365, aprovechando aplicaciones comprometidas que ya tenían permisos otorgados previamente.
En un subconjunto de entornos donde la autenticación tuvo éxito, los agentes de IA usaron Microsoft Graph para reconocimiento de directorios, modificación de credenciales de aplicaciones e intentos de cambios en identidades, grupos y roles privilegiados. Microsoft identificó múltiples entornos de clientes con evidencia de esta actividad de seguimiento.
Cómo ocurrió
- Confirmado
- Storm-0940Grupo alineado con el estado chinoConfirmado.
- ARTEXFramework de pentesting impulsado por IAConfirmado.
- Password spraying151.000 intentos fallidos en 327 cuentasConfirmado.
- Credenciales robadasUsadas para acceder a Microsoft 365Confirmado.
- Acceso a M365Vía apps comprometidas con permisosConfirmado.
ConnectWiseCloud Backup comprometidoConfirmado.
Reconstrucción de DUPIN Intelligence según lo informado.
Qué se sabe
ACREDITADO
- Microsoft atribuyó el compromiso de ConnectWise Cloud Backup al grupo Storm-0940, alineado con el estado chino.
- El actor utilizó el framework ARTEX, impulsado por IA, para atacar 2.250 tenants de Microsoft 365.
- En varios casos, el acceso privilegiado a la nube se logró en menos de tres horas desde el targeting inicial.
- Entre el 10 y el 14 de octubre se registraron más de 151.000 intentos de login fallidos contra 327 cuentas en ocho organizaciones, sin éxito.
- El 15 de octubre el grupo pasó a usar credenciales robadas de ConnectWise para acceder a entornos Microsoft 365.
SIN VERIFICAR O ABIERTO
- El alcance total de los entornos comprometidos y la cantidad de organizaciones afectadas por el acceso con credenciales robadas no fue detallado por Microsoft.
- No se informó si los atacantes lograron persistencia exitosa en los entornos donde se detectó actividad de seguimiento.
- Se desconoce si otras empresas además de ConnectWise vieron comprometidas sus credenciales o aplicaciones.
- No está claro cuántos de los 2.250 tenants atacados corresponden a organizaciones de América Latina o España.
Contexto
ARTEX no es una herramienta exclusiva de Storm-0940. Microsoft indicó que actores de amenaza en varias regiones han utilizado el mismo framework. Escrito en Go, ARTEX puede emplear diferentes modelos de IA, como DeepSeek, GLM y Grok, como agentes coordinados para planificar y ejecutar tareas. Investigadores de Zscaler y Recorded Future identificaron un grupo de habla china utilizando ARTEX para atacar instituciones financieras.
El mecanismo de persistencia es el punto crítico para los defensores: un atacante que agregó sus propias credenciales a una aplicación de confianza antes de que se revocara el acceso todavía tiene una llave funcional. Microsoft recomienda revisar todas las adiciones de credenciales de service principal desde al menos el 1 de octubre, no desde el 15, cuando se anunció públicamente la brecha, porque los cambios pueden permanecer activos como puerta trasera incluso después de que la aplicación comprometida original haya sido remediada.
El reporte técnico de Microsoft marca un punto de inflexión en la documentación pública de ataques coordinados por agentes de IA contra entornos corporativos en producción, al mostrar cómo la automatización con IA redujo drásticamente los tiempos de compromiso en la nube.
Qué hacer
- Revisar credenciales de aplicaciones Auditar todas las adiciones de credenciales de service principal en Microsoft 365 desde al menos el 1 de octubre, no solo desde el 15, para detectar posibles puertas traseras.
- Revocar accesos de terceros Deshabilitar las conexiones y permisos otorgados a aplicaciones de proveedores comprometidos, como ConnectWise, y verificar que no queden credenciales válidas.
- Monitorear actividad en Graph Vigilar cambios inusuales en identidades, grupos y roles privilegiados, así como reconocimiento de directorios a través de Microsoft Graph.
- Aplicar autenticación fuerte Reforzar el acceso con autenticación multifactor y políticas de acceso condicional para dificultar el uso de credenciales robadas.
- Desconfiar de mensajes con el incidente Evitar caer en correos o mensajes que usen la brecha de ConnectWise como gancho para robar credenciales o distribuir malware.
CÓMO SE ELABORÓ Nota de la redacción de DUPIN Intelligence, escrita con asistencia de inteligencia artificial a partir de información pública y revisada con reglas editoriales automáticas. Lo que no está verificado se marca como tal. ¿Encontraste un error? Pedí una corrección · Metodología.
