Microsoft identificou que o grupo de.hackes alinhado à China Storm-0940 foi responsável por uma invasão à aplicação ConnectWise Cloud Backup, comprometendo centenas de organizações em escala global. O ataque utilizou ARTEX, um framework de teste de penetração baseado em IA generativa e escrito em Go, para acelerar atividades como varredura, furtos de dados e abusos de OAuth.
Uso de IA generativa em ataque de cadeia de suprimentos
Segundo a Reuters, citada pela Central News Agency de Taiwan, o ataque atingiu setores como aeroespacial, defesa, energia, finanças, governo e tecnologia. Manny Rivelo, CEO da ConnectWise, afirmou que a empresa desativou a conexão do aplicativo comprometido e está restabelecendo serviços gradualmente. Apesar disso, os acessos prévios concedidos aos invasores permanecem em aberto, exigindo verificação individualizada por cliente.
O The Hacker News destacou que o ARTEX foi recentemente tornado closed-source após ser usado offensiveamente contra instituições financeiras na Coreia do Sul. A ferramenta automatiza processos de engenharia social e exploração, operando em velocidade de máquina para contornar mecanismos tradicionais de defesa.
Escala e dinâmica do ataque
Storm-0940 foi monitorado desde 2021 e já era conhecido por utilizar redes de bots como Quad7 (também chamado CovertNetwork-1658) para campanhas de fuga de senhas. Neste caso, entre 10 e 14 de outubro de 2026, o grupo lançou uma campanha automatizada de password spray contra 327 contas em oito organizações, gerando mais de 151 mil tentativas falhas de login — com pico de 2.900 tentativas por minuto. Nenhuma autenticação bem-sucedida foi registrada nesse período.
A partir de 15 de outubro, porém, os agentes de IA começaram a explorar identidades das aplicações ConnectWise para acessar ambientes de clientes. Em alguns casos, o tempo entre o início do ataque e o acesso elevado foi menor que três horas, segundo a Microsoft.
Panorama regional da cobertura
A imprensa taiuesa enfatizou o impacto geopolítico e a origem chinesa do grupo, reforçando a narrativa de ameaças nacionais. Já publicações especializadas na Índia focaram na técnica usada no ataque — especialmente o papel do ARTEX como acelerador de reconhecimento e abuso de tokens OAuth — , destacando riscos operacionais para defensores cibernéticos.
O que ainda não foi divulgado
- Lista completa de organizações afetadas
- Detalhes sobre como o ARTEX conseguiu acesso inicial às aplicações ConnectWise
- Informações sobre possíveis danos já causados às empresas comprometidas
- Declarações oficiais da equipe de segurança da ConnectWise além do comunicado do CEO
