ConnectWise Cloud Backup / identidade de app… · Vazamento

Storm-0940 usou IA ARTEX contra mais de 2.250 tenants Microsoft 365

16 de out. de 2026 · 2 min de leitura

A Microsoft atribuiu ao grupo Storm-0940, ligado à China, o abuso de credenciais de aplicativos do ConnectWise Cloud Backup numa varredura de tokens entre tenants do Microsoft 365. Com agentes de IA do framework ARTEX, os atacantes tentaram autenticar em mais de 2.250 tenants e estabeleceram acesso privilegado persistente em várias organizações; a ConnectWise desativou os serviços afetados e desabilitou os aplicativos. Empresas devem trocar credenciais e segredos de aplicativos de fornecedor, revisar consentimentos e procurar segredos plantados.

Por Redação HIFY Radar Atualizado 26/10/2026 13:25 Receba isso todo dia →← Voltar ao feed 7 fontes

AltaVazamentoSem software a atualizar

Neste artigo

O que aconteceu
Por que importa
O que fazer
Para o time técnico
Linha do tempo
Fontes

O que aconteceu

Credenciais de aplicativo do ConnectWise Cloud Backup foram comprometidas e usadas em tentativas de acesso a mais de 2.500 ambientes Microsoft 365 de clientes, segundo a Microsoft; o número citado é mais de 2.250 tenants. A Microsoft atribuiu o ataque ao grupo Storm-0940, ligado à China, que usou agentes de IA do framework ARTEX. A ConnectWise desativou os serviços Cloud Backup, SaaS Security e Cloud Management e desabilitou os aplicativos afetados em 17 de outubro.

Por que importa

Os atacantes usaram permissões que os clientes já haviam concedido ao ConnectWise, sem login de usuário, e estabeleceram acesso privilegado persistente em várias organizações. A Microsoft não informou quantos clientes foram comprometidos nem se houve roubo de dados, e leituras de diretório pelo Microsoft Graph não deixam registro de auditoria. Em alguns casos, o ataque passou do alvo inicial ao acesso privilegado em menos de três horas.

O que fazer

Trocar credenciais e segredos de todos os aplicativos de fornecedor no Microsoft 365 e auditar segredos plantados em outros aplicativos do tenant. Revisar consentimentos e permissões, desabilitar aplicativos ConnectWise não usados e verificar logs de entrada de outubro, em especial 15 de outubro. Verificar se algum aplicativo recebeu atribuição de administrador global sem autorização.

Para o time técnico

Afetados: ConnectWise Cloud Backup / identidade de app Microsoft 365 · Serviços ConnectWise Cloud Backup, SaaS Security e Cloud Management (desativados); aplicativos da família ConnectWise/SkyKick no Microsoft 365 e Entra ID. Mais de 2.250 tenants Microsoft 365 visados (Microsoft). Huntress identificou quase 1.000 tenants Entra com atividade de entrada do IP principal, com mais de 300 entradas bem-sucedidas.
Exploração: Exploração confirmada. A Microsoft (relatório de 21 de outubro) atribuiu ao Storm-0940, grupo de espionagem ligado à China ativo desde pelo menos 2021, usando o framework ARTEX; as tentativas chegaram a 2.900 por minuto. Pós-comprometimento observado pela Huntress em dois tenants: o aplicativo se autoatribuiu administrador global e plantou segredos em outros aplicativos registrados no tenant em cerca de dois minutos, por volta de 03:45 UTC de 15 de outubro; a persistência sobrevive à revogação da credencial original. Última entrada bem-sucedida confirmada: 08:44 UTC de 15 de outubro. Sem evidência de manipulação de caixas de correio, arquivos ou políticas nos tenants revisados; leituras de diretório pelo Graph não geram auditoria.
Correção: Sem patch. A ConnectWise desativou os serviços afetados e, em 17 de outubro, comunicou que desabilitou os aplicativos relevantes; o CEO Manny Rivelo afirmou que as conexões de aplicativo foram contidas e os serviços estão sendo restaurados gradualmente. Mitigação por tenant: revogar e trocar credenciais e segredos de aplicativos, remover segredos plantados, revisar consentimentos e permissões, desabilitar aplicativos ConnectWise não usados e revisar logs de entrada.
Vetor: Abuso de identidade de aplicativo (service principal) do ConnectWise Cloud Backup: credenciais de fornecedor comprometidas autenticaram entre tenants do Microsoft 365 sem login interativo de usuário, aproveitando permissões já concedidas pelos clientes aos aplicativos ConnectWise. Entradas de aplicato vistas do IP 144.172.64[.]128 (AS14956, RouterHosting); o acesso que plantou credenciais em outros aplicativos veio de espaço IPv6 privado do Azure. Houve password spray anterior (10 a 14 de outubro) com mais de 151.000 tentativas falhas contra 327 contas em oito organizações, sem logins bem-sucedidos, segundo a Microsoft.
Mais detalhes: ARTEX é um framework de pentest autônomo de código aberto, escrito em Go, publicado no GitHub por um desenvolvedor chinês em julho de 2026, vencedor do desafio 'Agent+' do Baidu em setembro e tornado código fechado em 8 de outubro, com mais de 12.000 forks (Wiz). Microsoft diz que o Storm-0940 usa ARTEX desde setembro contra agências governamentais, contratantes de defesa, bancos, fabricantes e empresas de tecnologia, e que atores de várias regiões também o usam. A Wiz observou o mesmo ator contra outros fornecedores de TI e software e provedores de identidade (Okta, Entra, AWS Cognito), com password spray coordenado (intervalo mediano de um segundo, rajadas de 20 a 60 minutos, sessões de 24 a 30 horas) focado em contas de engenheiros de software. Segunda onda direcionada em 15 de outubro visou, sem sucesso, 16 tenants protegidos pela Huntress nos setores de políticas públicas, segurança nacional, comércio e minerais críticos: varredura de tokens Graph do aplicativo SkyKick entre 09:25:04 e 12:35:50 UTC e onda manual entre 13:54:39 e 14:20:24 UTC contra Exchange Online, SharePoint Online, Teams, Azure Resource Manager, Entra e APIs de gerenciamento do Office 365. A Huntress também relata que o ator plantou credencial num aplicativo Huntress em um tenant, usada sete vezes, removida em 16 de outubro. A ConnectWise já havia sofrido invasão de 'ator de estado-nação' via ScreenConnect em maio de 2025, sem indicação de ligação entre os casos.