Hackers alinhados com a China empregaram inteligência artificial e credenciais comprometidas da ConnectWise para atacar mais de 2.250 ambientes Microsoft 365, segundo a Microsoft. A gigante de Redmond revelou que os atacantes, rastreados como Storm-0940, utilizaram uma ferramenta de teste de penetração de código aberto baseada em IA chamada ARTEX para automatizar ataques contra ambientes Microsoft 365. Em alguns cenários, o processo de seleção de um alvo até a obtenção de acesso privilegiado à nuvem levou menos de três horas.
As descobertas aprofundam a compreensão sobre o incidente de segurança na ConnectWise, onde o fornecedor de gerenciamento de TI suspendeu seus serviços de Backup em Nuvem, Segurança SaaS e Gerenciamento em Nuvem após detectar acesso não autorizado a identidades de aplicativos. Embora a ConnectWise não tenha identificado os responsáveis inicialmente, a Microsoft agora aponta para o Storm-0940, um grupo de espionagem com ligações chinesas ativo desde pelo menos 2021. Tradicionalmente, o grupo recorria a táticas como password spraying e exploração de aplicações voltadas para a internet, mas desta vez utilizou IA para otimizar tarefas.
IA em Ação: A Ferramenta ARTEX
A ARTEX é um framework de teste de penetração de código aberto, desenvolvido em Go, que emprega agentes de IA para automatizar desde a fase de reconhecimento e descoberta de vulnerabilidades até ataques a credenciais e roubo de dados. A Microsoft observou que o Storm-0940 começou a usar essa ferramenta já em setembro, visando organizações globalmente, incluindo agências governamentais, empreiteiros de defesa, bancos, fabricantes e empresas de tecnologia. Entre 10 e 14 de outubro, os hackers realizaram mais de 151.000 tentativas de login falhas contra 327 contas em oito organizações. Apesar de nenhuma tentativa de login ter sido bem-sucedida nessa campanha de password spraying, os atacantes mudaram o foco para credenciais de aplicativos da ConnectWise já comprometidas.
O Mecanismo do Ataque Via Credenciais Comprometidas
As credenciais de aplicativos comprometidas permitiram que os atacantes explorassem as permissões que os clientes já haviam concedido aos serviços da ConnectWise, dispensando a necessidade de um login de usuário interativo. Munidos da ARTEX, o Storm-0940 tentou autenticar-se em mais de 2.250 tenants do Microsoft 365, chegando a registrar 2.900 tentativas por minuto em alguns momentos. A Microsoft também detectou atividade acelerada por IA através do Microsoft Graph, incluindo reconhecimento, alterações de credenciais de aplicativos e tentativas de modificar privilégios, o que poderia permitir que os atacantes mantivessem persistência mesmo após a revogação das credenciais originais. A maioria das tentativas falhou, mas a Microsoft confirmou que os hackers conseguiram estabelecer acesso privilegiado persistente em diversas organizações.
Implicações e Vulnerabilidades de Segurança na Nuvem
A Microsoft não divulgou o número exato de clientes comprometidos nem se houve roubo de dados, ressaltando que um login bem-sucedido não garante acesso à informação. O CEO da ConnectWise, Manny Rivelo, afirmou que a empresa conteve as conexões afetadas e estava gradualmente restaurando os serviços. No entanto, o desligamento dessas conexões não necessariamente expulsa atacantes que já estabeleceram uma base em ambientes de clientes. A ConnectWise já enfrentou incidentes semelhantes; em maio de 2025, admitiu que um "ator de estado-nação sofisticado" invadiu seus sistemas, comprometendo um pequeno número de clientes através de seu software de acesso remoto ScreenConnect. Não há indícios que liguem os dois ataques.
Perguntas em Aberto e o Futuro da Defesa Cibernética
O Storm-0940 não é o único a utilizar a ARTEX; a Microsoft observou atacantes de diversas regiões geográficas empregando o framework, que é de livre acesso para testes de penetração. As técnicas subjacentes não são novas – credenciais roubadas, password spraying e abuso de aplicativos – mas a IA permitiu que o Storm-0940 as executasse com maior velocidade. A capacidade de progredir de um alvo inicial para acesso privilegiado à nuvem em menos de três horas representa um salto significativo na eficiência dos ataques. A crescente sofisticação e velocidade dos ciberataques impulsionados por IA levantam sérias preocupações sobre a capacidade das defesas atuais em proteger ambientes de nuvem cada vez mais complexos e interconectados. A corrida armamentista entre atacantes e defensores se intensifica, exigindo novas abordagens e tecnologias para garantir a segurança.
Com reportagem de Brazil Valley
Source · The Register
