Applicazioni già autorizzate hanno offerto agli attaccanti una via d'accesso agli ambienti dei clienti Microsoft 365 durante una compromissione della supply chain di ConnectWise, secondo Microsoft. L'azienda attribuisce l'operazione a Storm-0940, un gruppo allineato allo Stato cinese che, a suo dire, ha usato ARTEX, un framework agentico per i penetration test basato sull'IA, per accelerare gli attacchi.
Le scoperte compaiono tra gli sviluppi trattati nella newsletter di Security Affairs del 25 ottobre 2026. Altre segnalazioni riguardano indicazioni difensive contro il ransomware SafePay, malware mascherato da strumenti per fondatori di criptovalute e una condanna al carcere per un partecipante a schemi di intrusione e frode.
Clienti ConnectWise invitati a conservare le prove e a verificare l'attività delle applicazioni
Le organizzazioni che indagano sulla compromissione di ConnectWise dovrebbero esaminare i tenant in cui le integrazioni coinvolte erano state autorizzate in passato, comprese quelle che non usano più, come raccomanda Microsoft nell'analisi del 21 ottobre. L'azienda suggerisce di identificare le applicazioni tramite i loro ID anziché tramite i nomi visualizzati.
Il meccanismo d'accesso dipendeva dalla fiducia già concessa alle applicazioni. Sfruttando il materiale di autenticazione delle applicazioni compromesso, Storm-0940 poteva autenticarsi negli ambienti dei clienti senza un accesso interattivo dell'utente. Microsoft ha segnalato successive attività di Microsoft Graph che includevano ricognizione, modifiche alle credenziali delle applicazioni e tentativi di alterare i privilegi, che potrebbero ampliare l'accesso o aiutare a mantenerlo.
L'attribuzione di Microsoft collega Storm-0940 alla compromissione di un'applicazione ConnectWise multi-tenant. Nell'ambito della campagna ARTEX più ampia del gruppo, che Microsoft ha osservato già nel settembre 2026, centinaia di organizzazioni nel mondo sono state prese di mira. Diversi attacchi hanno ottenuto accesso privilegiato al cloud; in più casi sono passate meno di tre ore tra il primo bersaglio e quell'accesso. Questi risultati non chiariscono l'esito per ogni organizzazione presa di mira né per ogni cliente ConnectWise.
Per l'operazione ConnectWise, Microsoft ha descritto ARTEX come strumento di supporto per scansioni, ricognizione, password spraying e abuso di applicazioni OAuth. L'azienda ha dichiarato che l'attività non deriva da una violazione o da una vulnerabilità nei sistemi, nei prodotti o nei servizi aziendali di Microsoft.
Microsoft ha inoltre messo in guardia dal confondere l'esposizione di un'applicazione o un'autenticazione riuscita dell'attaccante con un accesso confermato ai dati dei clienti o con il loro furto. Al contrario, una ricerca senza risultati nei log di attività di Graph non stabilisce che l'accesso non sia mai avvenuto: gli investigatori dovrebbero valutare questi registri insieme ai permessi delle applicazioni e alle prove di autenticazione dei service principal.
Il consiglio di contenimento è di lasciare disattivate le connessioni alle applicazioni ConnectWise interessate, in attesa delle istruzioni formali di ripristino da parte di ConnectWise. Gli amministratori dovrebbero conservare configurazioni e registri delle indagini prima di eliminare le applicazioni aziendali, senza rinviare il contenimento urgente per completare le esportazioni. Microsoft raccomanda di esaminare l'attività a partire almeno dal 15 ottobre, estendendo le ricerche sugli accessi dei service principal al 1° ottobre dove esistono registri, e di indagare sull'attività correlata precedente. Gli accessi riusciti e quelli falliti vanno esaminati separatamente.
Le indicazioni SafePay puntano su punti d'ingresso e controllo degli account
Aziende e infrastrutture critiche in Nord America, Sud America, Europa e Australia sono esposte a un'operazione SafePay molto attiva dall'agosto 2024, secondo l'avviso pubblicato dalla CISA il 20 ottobre.
L'avviso descrive diverse vie d'ingresso nella rete di una vittima: phishing, furto o indovinamento delle password e sfruttamento di debolezze nei sistemi di sicurezza. Dopo l'ingresso, gli attaccanti assumono il controllo tramite account creati di recente o dirottati. Utilità di sistema legittime supportano poi lo spostamento tra i sistemi, la ricerca di file di valore e l'interferenza con le protezioni di sicurezza. Le vittime perdono alla fine l'accesso ai file cifrati e ricevono una richiesta di pagamento in criptovalute.
Le difese consigliate riguardano queste fasi: applicare le patch alle vulnerabilità note e sfruttate, prestare particolare attenzione ai sistemi esposti su internet come firewall e altri dispositivi di frontiera, limitare i privilegi e gli strumenti amministrativi, e rafforzare la gestione delle identità e delle credenziali. Le agenzie chiedono anche l'autenticazione a più fattori, soprattutto per la webmail, le VPN e l'accesso ai sistemi critici.
Gli indicatori pubblicati sono stati osservati tra il novembre 2024 e l'agosto 2026. Ai difensori si consiglia di verificare il contesto prima di bloccare gli indirizzi IP o gli strumenti elencati, perché alcuni file nell'avviso sono utilità legittime.
Un falso acceleratore Web3 offriva audit che nascondevano malware
Un'operazione separata ha sfruttato l'aspetto di un acceleratore di start-up per spingere i fondatori di criptovalute a usare strumenti per sviluppatori malevoli, come ha riferito Elastic Security Labs il 12 ottobre.
Operando con l'identità di Apex Accelerator, il gruppo ha passato mesi a costruire una presenza pubblica e ha offerto audit di sicurezza, strumenti di programmazione e crediti gratuiti per Claude e Gemini. Il sito di Apex Arena dichiarava più di 200 progetti in portafoglio e oltre 124 milioni di dollari raccolti. Elastic ha descritto recensioni false e una pagina di invito a un evento in presenza pubblicizzato come ulteriori tentativi di costruire credibilità.
Un avviso riguardante @apexacc/cli ha dato il via all'indagine di Elastic. I ricercatori hanno concluso che il pacchetto npm era malevolo già al momento della prima pubblicazione, e non lo era diventato in seguito per la compromissione di un pacchetto legittimo. L'autore ha poi pubblicato un altro pacchetto malevolo, @apexacc/audit.
Elastic ha segnalato malware e backdoor sia per macOS sia per Windows, tra cui CloudSyncD su macOS e un infostealer personalizzato per Windows che inviava i dati rubati tramite Telegram. Un agente di programmazione legittimo ricompilato instradava inoltre le richieste ai modelli attraverso un'infrastruttura controllata dagli attaccanti.
La funzionalità di audit offriva una falsa rassicurazione. I ricercatori hanno riscontrato risultati fabbricati in tutti e diciotto gli strumenti di @apexacc/audit. Inoltre hanno inviato un progetto fittizio al servizio di valutazione remoto usato da @apexacc/cli: ha ottenuto 51/100, nonostante il servizio segnalasse che il suo valutatore basato sull'IA non era disponibile.
Intrusioni nel settore fiscale portano a una condanna a otto anni
Chukwuemeka Victor Amachukwu, 40 anni, nigeriano, è stato condannato a otto anni di carcere dopo essersi dichiarato colpevole di cospirazione per intrusioni informatiche e di cospirazione per frode telematica, come ha annunciato il 19 ottobre l'Ufficio del procuratore degli Stati Uniti per il Distretto Sud di New York.
Secondo la ricostruzione dei pubblici ministeri, basata su atti giudiziari e dichiarazioni, lo schema di intrusione nelle attività fiscali risale almeno al 2019. Lo spear phishing ha permesso ai complici di entrare nei sistemi di aziende statunitensi di assistenza fiscale e di sottrarre dati fiscali e di identificazione di almeno circa 800 clienti. Nel complesso degli schemi, i complici hanno ottenuto informazioni d'identità rubate appartenenti a migliaia di persone.
Le dichiarazioni fiscali fraudolente hanno cercato di ottenere rimborsi per almeno circa 8,4 milioni di dollari, e ne sono stati ottenuti almeno circa 2,5 milioni. Ulteriori richieste fraudolente tramite il programma Economic Injury Disaster Loan della Small Business Administration hanno fruttato almeno circa 819.000 dollari. In una frode d'investimento separata, Amachukwu si è spacciato per un ricco finanziere straniero per vendere investimenti inesistenti in lettere di credito stand-by; questo schema ha fruttato oltre 7 milioni di dollari a lui e ai suoi complici.
La sentenza prevede anche un anno di libertà vigilata, un risarcimento di 3.647.629,39 dollari e una confisca di 10.846.634,39 dollari.
Microsoft illustra i controlli per gli agenti nelle organizzazioni
Accanto alle segnalazioni sugli incidenti, Microsoft ha usato un annuncio del 19 ottobre per descrivere le estensioni di Project Perception per la gestione degli agenti IA aziendali.
I controlli proposti assegnano agli agenti identità e permessi distinti da quelli dei dipendenti che li hanno avviati. Microsoft ha descritto Dynamic Permissions, per limitare l'autorità a un compito e alla sua durata, Dynamic Agent Risk, per rivalutare comportamento e contesto, e Dynamic Conditional Access, per modificare l'accesso man mano che il rischio cambia. I Guardian Agents dovrebbero supportare indagini e contenimento.
Si tratta delle affermazioni di Microsoft sulle capacità del prodotto. Secondo il design dichiarato, l'applicazione delle regole avviene al di fuori del modello, che consente controlli indipendenti per limitare le risorse, rimuovere i permessi di scrittura, richiedere un'approvazione umana verificata o arrestare un agente quando necessario.
