Las credenciales de las aplicaciones en la nube de ConnectWise dieron a los atacantes una vía hacia los entornos de Microsoft 365 de los clientes, mediante permisos que esas aplicaciones ya tenían. Microsoft evalúa que Storm-0940, al que describe como un actor alineado con el Estado chino, fue responsable del compromiso de la cadena de suministro y usó el marco de pruebas de penetración con IA agéntica ARTEX para acelerar las intrusiones.
El informe de Microsoft del 21 de octubre documenta autenticaciones exitosas y actividad posterior en varios entornos de clientes. Como los atacantes operaron a través de identidades de aplicación autorizadas, el acceso no requirió un inicio de sesión interactivo de usuario.
La diferencia entre autenticación y exposición de datos sigue siendo importante. Microsoft advirtió que ni la presencia de una aplicación afectada ni un inicio de sesión exitoso del atacante demuestran necesariamente que se haya accedido a datos de clientes o que estos hayan sido exfiltrados.
Los ataques con contraseñas fallidas precedieron al abuso de aplicaciones
Antes de que se usaran las credenciales de las aplicaciones, Storm-0940 llevó a cabo una operación de password spraying entre el 10 y el 14 de octubre, según el relato de Security Affairs sobre los hallazgos de Microsoft. Más de 151.000 intentos de inicio de sesión fallidos se dirigieron contra 327 cuentas en ocho organizaciones. Ninguno tuvo éxito.
Para el 15 de octubre, los atacantes ya usaban credenciales comprometidas de varias aplicaciones en la nube de ConnectWise para autenticarse en entornos de clientes. Los intentos fallidos con contraseña no permiten determinar cómo se obtuvieron esas credenciales de aplicación.
ARTEX ayudó a automatizar el reconocimiento, el password spraying y el abuso de aplicaciones OAuth. SecurityWeek informó, citando a Microsoft, que el actor intentó iniciar sesión en más de 2.250 tenants tras obtener acceso no autorizado. Esa cifra describe intentos de acceso, no un recuento de vulneraciones confirmadas.
Por separado, SecurityWeek citó observaciones de Huntress sobre atacantes que accedían a cientos de tenants de Microsoft 365, incluidos más de 300 tenants de Entra, con credenciales comprometidas de aplicaciones de ConnectWise. Según la publicación, ConnectWise suspendió Cloud Backup, SaaS Security y Cloud Management, entre varios servicios, en respuesta a la actividad de mediados de octubre.
Los cambios en el directorio complicaron la contención
En varios entornos, Microsoft rastreó actividad más allá del inicio de sesión inicial en Microsoft Graph. Las operaciones observadas incluyeron reconocimiento y cambios en las credenciales de aplicaciones, además de intentos de modificar privilegios que podían ampliar o prolongar el acceso. Los informes también describieron operaciones sobre identidades, grupos y roles privilegiados.
Esos cambios en las credenciales plantean un problema de persistencia: según Microsoft, el acceso establecido mediante credenciales añadidas por el atacante puede sobrevivir a la remediación de la aplicación originalmente comprometida. Por tanto, investigar solo el inicio de sesión inicial dejaría sin examinar los cambios posteriores en el directorio.
Microsoft recomienda correlacionar los inicios de sesión de entidades de servicio (service principals) con las operaciones de Microsoft Graph, las modificaciones del directorio y el acceso a recursos. Los investigadores deben contrastar los cambios inesperados de credenciales o privilegios con la actividad administrativa autorizada, seguir la guía de contención publicada por ConnectWise y preservar las evidencias de la investigación.
Las detecciones de Defender XDR y las consultas de caza respaldan ese trabajo. Microsoft advierte además de que una búsqueda de actividad de Graph sin resultados no demuestra que nunca se haya producido un acceso; los investigadores deben considerar los permisos de aplicación y los registros de autenticación de las entidades de servicio junto con la telemetría de Graph.
Parte de una campaña más amplia de ARTEX
Microsoft observó que Storm-0940 usaba ARTEX contra cientos de organizaciones en todo el mundo ya en septiembre de 2026. Varios ataques de esa actividad más amplia dieron acceso privilegiado a la nube, y en múltiples casos pasaron menos de tres horas desde el primer objetivo hasta el acceso privilegiado. Ese plazo no se pudo establecer para todas las intrusiones de ConnectWise.
Según SecurityWeek, Storm-0940 opera desde 2021 como mínimo. ARTEX proporcionó la automatización de sus flujos ofensivos, mientras que las intrusiones de ConnectWise se apoyaron en identidades de aplicación comprometidas y en sus permisos existentes. Microsoft afirmó que la actividad no derivó de un compromiso ni de una vulnerabilidad en sus sistemas corporativos, productos o servicios.
