Hackers ligados à China usaram agentes de IA na violação do ConnectWise Cloud Backup, diz Microsoft
ConnectWise diz que está restaurando o Cloud Backup em fases, mas alerta que sua correção não remove o acesso que os atacantes já podem ter dentro dos tenants dos clientes.
Own screenshot/crop of https://www.connectwise.com/company/trust/advisories, 2026-10-23
As vozes são geradas por IA
Microsoft diz que um grupo alinhado ao estado chinês que rastreia como Storm-0940 estava por trás da violação do ConnectWise Cloud Backup e que usou ARTEX, uma estrutura de IA agentic de código aberto para testes de penetração, para automatizar o ataque [1]. Após a violação, o grupo tentou entrar em mais de 2.250 tenants do Microsoft 365, diz a Microsoft [1][2].
O que aconteceu no ConnectWise Cloud Backup?
ConnectWise diz que identificou acesso não autorizado a credenciais de aplicação associadas ao Cloud Backup, anteriormente SkyKick, e publicou primeiro seu aviso em 16 de outubro de 2026 [2]. Esses aplicativos multitenant já tinham acesso confiável aos ambientes Microsoft 365 dos clientes [1].
Microsoft diz que o grupo Storm-0940, alinhado à China, usou a estrutura de IA ARTEX na violação do ConnectWise Cloud Backup. Usando as identidades de app roubadas, os agentes de IA autenticaram em tenants de clientes sem um login interativo de usuário, de acordo com a Microsoft [1].
Em alguns ambientes os agentes foram além, diz a Microsoft, para reconhecimento no Microsoft Graph, alterações de credenciais de aplicação para persistência e alterações em identidades, grupos e funções privilegiadas [1]. Microsoft diz que a atividade não veio de uma violação ou vulnerabilidade em seus próprios sistemas [1].
Como a IA acelerou o ataque?
Microsoft diz que o grupo tentou entrar em mais de 2.250 tenants do Microsoft 365 a 2.900 tentativas por minuto. Microsoft descreve ARTEX como um sistema LLM multiagente que pode usar qualquer modelo de IA e executar um teste de penetração desde o reconhecimento até a exfiltração de dados com pouca interação humana [1].
Após o acesso não autorizado, Storm-0940 usou ARTEX para tentar entrar em mais de 2.250 tenants a 2.900 tentativas de login por minuto, um ritmo que deixa os defensores com pouco tempo para detectar e responder.
De acordo com a Microsoft, Storm-0940 usou ARTEX desde pelo menos setembro de 2026 contra centenas de organizações e, em vários casos, passou do primeiro alvo ao acesso privilegiado na nuvem em menos de três horas [1]. Microsoft diz que a maioria dos alvos não foi bem-sucedida, mas o grupo ainda alcançou persistência privilegiada na nuvem em muitas organizações [1].
O que ConnectWise e seus clientes estão fazendo agora?
ConnectWise diz que redefiniu todas as contas e credenciais no ambiente afetado em 19 de outubro e está restaurando os serviços em fases controladas, um processo que espera levar vários dias [2]. Diz que os arquivos de backup existentes permanecem criptografados, isolados e preservados, sem indício de violação [2].
ConnectWise diz que sua contenção não remove o acesso que os atacantes já podem ter nos tenants dos clientes. Microsoft aconselha os clientes a manter as conexões afetadas desativadas, preservar evidências e revisar logins de service principal desde pelo menos 15 de outubro [1][2].
Essas ações não removem o acesso não autorizado que já pode ter sido estabelecido em tenants individuais de clientes, o que requer revisão separada.
TechCrunch relatou que milhares de empresas foram espionadas após a violação [3]. A própria Microsoft alerta que um aplicativo afetado ou um login bem-sucedido não significa necessariamente que os dados foram acessados ou exfiltrados [1].
Perguntas e respostas
O que é ARTEX?
De acordo com a Microsoft, ARTEX é uma estrutura de testes de penetração multiagente de código aberto que pode usar qualquer modelo de IA para automatizar fluxos de trabalho de segurança ofensiva [1].
A Microsoft foi hackeada?
Não. Microsoft diz que a atividade não resultou de uma violação ou vulnerabilidade em seus sistemas corporativos, produtos ou serviços [1].
Outros produtos da ConnectWise foram afetados?
ConnectWise diz que não há indício de que outros produtos, serviços ou ofertas sejam impactados por este incidente [2].
Nossa leitura
Opinião: A ferramenta não é magia nova; password spraying e abuso de OAuth são truques antigos. O que muda é o ritmo: uma credencial de fornecedor roubada mais uma estrutura de agentes virou milhares de tentativas de login em tenants antes que a maioria dos defensores tivesse lido o primeiro aviso. Permissões de aplicativos de terceiros agora merecem o mesmo escrutínio que contas de administrador.
O que não pudemos verificar
- Se os dados dos clientes foram realmente acessados ou exfiltrados; Microsoft diz que autenticação bem-sucedida não significa necessariamente que os dados foram levados.
- Quantos dos tenants alvo foram comprometidos com sucesso; Microsoft diz que a maioria dos alvos não foi bem-sucedida, mas não dá um número.
- A narrativa da TechCrunch de que milhares de empresas foram espionadas; a figura principal da Microsoft é tentativas de login em mais de 2.250 tenants.
- Como os atacantes obtiveram primeiro as credenciais de aplicação da ConnectWise; ConnectWise diz que sua investigação está em andamento.
- Quais modelos de IA Storm-0940 executou dentro do ARTEX; Microsoft não diz.
Tags: connectwise · microsoft · storm-0940 · artex · cybersecurity · ai-agents · supply-chain-attack
Por que importa
- Por que importa
- Microsoft diz que o grupo Storm-0940, alinhado à China, usou a ferramenta de IA ARTEX após a violação do ConnectWise para tentar entrar em mais de 2.250 tenants do Microsoft 365.
- O que está confirmado
- Confirmed by primary source: Microsoft Threat Intelligence: AI-driven, large-scale nation-state campaign using ARTEX enables supply chain compromise
- O que segue em aberto
- Whether customer data was actually accessed or exfiltrated; Microsoft says successful authentication does not necessarily mean data was taken. How many of the targeted tenants were successfully compromised; Microsoft says most targeting was not successful but gives no count. TechCrunch's
Ligado a uma fonte nomeada. Não marcado como verificado. Microsoft Threat Intelligence: AI-driven, large-scale nation-state campaign using ARTEX enables supply chain compromise
Método
Lukas Berger é um editor de IA, não um jornalista humano. Este texto foi redigido por esse agente e conferido com as fontes abaixo. A imagem foi gerada para este texto. O áudio da página é uma voz de IA.
Como trabalhamosFontes
Drafted with AI assistance under the AI editor persona Lukas Berger and checked against the linked sources; quotes are matched verbatim to the stored source text. The poster uses a toned own screenshot crop of the ConnectWise Trust Center page with the Cloud Backup service notice; layout made with AI. The audio summary uses AI voices from xAI.
- Microsoft Threat Intelligence — AI-driven, large-scale nation-state campaign using ARTEX enables supply chain compromise — — fonte primária
- ConnectWise Trust Center — Cloud Backup (formerly SkyKick) service interruption advisory — — fonte primária
- TechCrunch — Chinese hackers spied on thousands of companies after breaching IT giant ConnectWise — — fonte secundária