Hackers ligados à China usam IA em ataque global via ConnectWise, diz Microsoft
Credenciais de aplicativos foram usadas contra mais de 2.250 ambientes corporativos; tentativas não equivalem a invasões confirmadas
RESUMO ＋
A Microsoft atribuiu ao Storm-0940, grupo que considera alinhado ao Estado chinês, um ataque com IA contra a ConnectWise. Credenciais de aplicativos foram usadas em tentativas de entrada em mais de 2.250 ambientes corporativos, número que não equivale a vítimas confirmadas. A Huntress identificou autenticações bem-sucedidas em mais de 300 ambientes de sua amostra e alterações para manter acesso em dois casos examinados. A ConnectWise mantém a recuperação gradual dos serviços e orienta clientes a revisar seus ambientes.
A Microsoft atribuiu nesta quarta-feira, 21, ao grupo Storm-0940, que considera alinhado ao Estado chinês, o ataque à ConnectWise revelado neste mês. Segundo a empresa, os invasores usaram inteligência artificial para acelerar uma campanha contra centenas de organizações. O caso envolve credenciais de aplicativos empresariais: acessos concedidos a um fornecedor passaram a ser usados por terceiros contra seus clientes.
Segundo a Microsoft, houve tentativas de entrada em mais de 2.250 ambientes corporativos, chamados de tenants. Nesse tipo de ataque, o número não representa 2.250 empresas invadidas: tentativas, autenticações bem-sucedidas e acesso efetivo a dados são situações diferentes.
A ConnectWise reconheceu o comprometimento de credenciais associadas ao Cloud Backup, anteriormente chamado SkyKick. Na atualização desta quinta-feira, 22, às 10h, no horário de Brasília, informou que a restauração continuava em etapas, com validações de segurança. A origem da exposição das credenciais permanece sob investigação.
A atribuição não equivale a uma confirmação independente de comando pelo governo chinês. À Reuters, a embaixada da China em Washington afirmou que o país combate ataques cibernéticos e rejeitou acusações que classificou como ataques à sua imagem.
Como uma conexão de backup virou porta de entrada
O Cloud Backup utiliza uma aplicação autorizada pelo cliente a acessar dados no Microsoft 365. Pesquisadores da Sophos identificaram, em 15 de outubro, uma varredura automatizada que solicitava tokens — autorizações digitais de acesso — usando a identidade desse aplicativo.
Esse mecanismo não exigia a senha de um funcionário nem uma solicitação de autenticação multifator: a conexão acontecia em nome do software autorizado. A Sophos também encontrou tentativas envolvendo ambientes sem assinatura ativa de backup, mas que ainda mantinham a autorização anterior. Isso amplia a necessidade de verificação para além dos clientes que usam o serviço atualmente.
Segundo a Microsoft, a ferramenta ARTEX ajudou a automatizar atividades ofensivas. O uso de IA para ampliar ataques já apareceu em outras investigações, mas não identifica, por si só, quem está por trás de uma operação.
Ser alvo de uma tentativa não significa ter dados roubados.Bloquear o aplicativo não encerra a investigação
A Huntress relatou autenticações bem-sucedidas em mais de 300 ambientes de sua amostra. Em dois ambientes examinados, observou uma sequência mais grave: o aplicativo obteve privilégios de administrador global e adicionou credenciais a outros aplicativos, criando caminhos para manter o acesso.
Nesses dois casos, a empresa não encontrou evidências de manipulação de arquivos ou caixas de e-mail. A ressalva é importante: registros disponíveis não mostram necessariamente toda leitura de dados. A resposta a uma invasão, neste caso, exige investigar também as identidades dos aplicativos, não apenas as contas de funcionários.
Desativar a integração original não elimina acessos criados em outros aplicativos.A ConnectWise orienta manter as conexões afetadas desativadas até receber instruções específicas de restauração. Segundo a companhia, os arquivos de backup existentes continuam criptografados, isolados e preservados, sem indicação de comprometimento. Essa avaliação não substitui a análise individual dos ambientes Microsoft 365.
Em outro episódio, de 2025, a EXAME mostrou como invasores mantiveram acessos após correções no SharePoint. São incidentes distintos, mas ambos mostram por que conter a porta de entrada e procurar acessos remanescentes são etapas diferentes.