Uma brecha de segurança na ConnectWise permitiu que hackers ligados ao governo chinês invadissem mais de 2.250 ambientes corporativos na nuvem da Microsoft. A ofensiva utilizou agentes de inteligência artificial (IA) para acelerar os ataques, que conseguiram acesso privilegiado aos sistemas em menos de três horas.
Em comunicado publicado nesta quarta-feira (21), a Microsoft Threat Intelligence revelou que o grupo responsável, monitorado sob o nome Storm-0940, empregou uma ferramenta de código aberto chamada ARTEX. Basicamente, o software automatiza etapas como varredura de vulnerabilidades, roubo de credenciais e invasão de dados.
O incidente atingiu a ConnectWise, empresa especializada em softwares de gerenciamento de tecnologia da informação (TI), que precisou tirar serviços de nuvem do ar após descobrir acessos não autorizados nas credenciais. A companhia suspendeu ferramentas como Cloud Backup, SaaS Security e Cloud Management para conter o problema.
O chefe-executivo da ConnectWise, Manny Rivelo, afirmou que a empresa isolou as conexões afetadas e iniciou um processo gradual de restauração dos serviços. “Atores estatais visam cada vez mais a cadeia de suprimentos de software porque uma única conexão confiável abre a porta para várias organizações”, explicou o executivo, em entrevista ao portal especializado The Register.
A velocidade da inteligência artificial no ataque
O grupo Storm-0940 atua desde 2021 com foco em roubo de dados e utiliza táticas tradicionais combinadas com novas tecnologias. Entre 10 e 14 de outubro, os hackers realizaram mais de 151 mil tentativas de login em contas de oito organizações, sem sucesso inicial, segundo o relatório da Microsoft Threat Intelligence.
Em seguida, os invasores mudaram de estratégia e passaram a explorar credenciais de aplicativos da ConnectWise que já contavam com a confiança dos sistemas. Com o auxílio da inteligência artificial, o grupo disparou cerca de 2.900 tentativas de autenticação por minuto contra os inquilinos da Microsoft 365.
A equipe de pesquisa da big tech explicou que a tecnologia agiu para burlar barreiras de segurança em tempo recorde:
Os agentes de inteligência artificial operando em nome do grupo continuaram a usar a mesma faixa de IP para autenticar nos ambientes dos clientes por meio do acesso ilícito adquirido, aproveitando a confiança já estabelecida
Microsoft
Impacto na cadeia de suprimentos e próximos passos
A ação afetou diversos setores globalmente, incluindo defesa, tecnologia, finanças e governo. A velocidade permitida pela automação reduziu drasticamente o tempo que as equipes de segurança tinham para detectar e bloquear a invasão.
A ConnectWise informou que os arquivos de backup existentes continuam criptografados e isolados, sem indícios de comprometimento direto dos dados salvos. Em nota divulgada no centro de confiabilidade, a empresa destacou: “Reconhecemos a contínua interrupção e permanecemos focados em restaurar o serviço com segurança”.
As equipes de engenharia, os especialistas terceirizados em resposta a incidentes contratados pela empresa e os analistas de segurança da Microsoft continuam monitorando o cenário, segundo as atualizações divulgadas pela ConnectWise e os relatórios técnicos do Microsoft Threat Intelligence.
Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.
