Microsoft atribui ataque à cadeia de suprimentos da ConnectWise a grupo chinês
A Microsoft atribuiu ao Storm-0940, grupo associado ao Estado chinês, uma operação que comprometeu a cadeia de suprimentos da ConnectWise. Segundo a análise da empresa, os invasores aproveitaram a confiança entre aplicativos da fornecedora e ambientes de clientes para tentar acessar contas e recursos na nuvem.
A campanha teria começado em setembro de 2026 e usado o ARTEX, módulo de código aberto para testes de invasão que emprega inteligência artificial para automatizar tarefas. A ferramenta foi utilizada para lançar tentativas de autenticação contra centenas de organizações. Em alguns casos, o caminho entre a escolha de um alvo e a obtenção de acesso privilegiado à nuvem levou menos de três horas.
A Microsoft afirma que não houve exploração de uma vulnerabilidade em seus sistemas ou serviços corporativos. A atividade descrita envolveu o abuso de identidades e aplicativos, além de técnicas como pulverização de senhas – método em que uma mesma senha é testada contra muitas contas, reduzindo o risco de bloqueio por tentativas repetidas em um único usuário.
Tentativas de acesso em larga escala
Durante a operação, o Storm-0940 teria tentado autenticar-se em mais de 2.250 locatários, a uma velocidade de até 2.900 tentativas por minuto. Entre 10 e 14 de outubro de 2026, a infraestrutura associada ao grupo no endereço IP 144.172.64[.]99 realizou uma campanha contra 327 contas em oito organizações.
A telemetria da Microsoft registrou mais de 151 mil eventos de logon malsucedidos. O maior volume ocorreu em 11 de outubro, quando foram observadas até 2.900 falhas de autenticação por minuto. Embora tentativas rejeitadas não comprovem, por si só, uma invasão bem-sucedida, o volume e a abrangência indicam uma operação automatizada que exige investigação.
Após assumir o controle de identidades de aplicativos na nuvem da ConnectWise, os agentes teriam usado a mesma infraestrutura para tentar entrar nos ambientes de clientes com credenciais roubadas. A confiança previamente concedida aos aplicativos em cada locatário podia facilitar o acesso a serviços do Microsoft 365 sem que os invasores precisassem iniciar uma conexão inteiramente nova.
Em alguns ambientes, a atividade avançou para operações no Microsoft Graph e no diretório. Entre as ações observadas estavam o reconhecimento de recursos, alterações de credenciais para manter o acesso e mudanças relacionadas a identidades, grupos e funções privilegiadas. Esse tipo de persistência pode permitir que o invasor continue operando mesmo depois da troca de uma senha de usuário.
Medidas recomendadas para os clientes
A Microsoft orientou manter desativadas as conexões dos aplicativos ConnectWise afetados até que a fornecedora publique instruções para restaurá-las. A recomendação é não excluir os aplicativos como primeira medida: antes de mudanças irreversíveis, as organizações devem preservar configurações e evidências, que podem ser necessárias para entender o alcance do incidente.
Os responsáveis por segurança também devem identificar os quatro IDs de aplicativo relacionados ao caso e registrar o Object ID do service principal em cada locatário. A busca deve ser feita pelo identificador do aplicativo, e não apenas pelo nome exibido, que pode variar ou ser alterado.
A revisão precisa abranger todos os locatários do Microsoft 365 nos quais esses aplicativos estejam ou tenham estado instalados. A Microsoft recomenda analisar a atividade a partir de 15 de outubro de 2026, preservando registros de auditoria do Microsoft Entra, do Purview e da plataforma de gerenciamento de eventos e informações de segurança (SIEM).
Na investigação, é importante separar logons bem-sucedidos de tentativas malsucedidas de service principals e verificar acessos provenientes de fontes desconhecidas. A análise não deve ficar restrita aos endereços IP divulgados: um atacante pode mudar de infraestrutura, e a ausência de um indicador conhecido não descarta comprometimento.
Se houver evidências de acesso indevido, as organizações devem revogar permissões que não sejam necessárias e substituir credenciais potencialmente expostas. A revisão deve incluir aplicativos OAuth, funções administrativas, alterações em grupos e novas credenciais adicionadas a identidades de serviço. Também é recomendável avaliar se as permissões concedidas continuam justificadas para as operações da empresa.
Detecção e resposta
A Microsoft disponibilizou detecções para o Defender XDR e o Defender for Cloud Apps, além de consultas de caça a ameaças no Sentinel e no Advanced Hunting. Essas ferramentas podem ajudar a localizar padrões de autenticação incomuns e atividades relacionadas aos aplicativos envolvidos. Ainda assim, os resultados devem ser avaliados em conjunto com os registros internos e o contexto de cada organização.
Entre os indicadores divulgados estão os IPs 144.172.64[.]128, 144.172.64[.]99 e 144.172.64[.]60, além dos endereços 187.15.88[.]186, 187.15.90[.]217 e 187.15.89[.]186. Eles podem ser usados como ponto de partida para buscas, mas não substituem uma investigação completa nem devem ser tratados como uma lista definitiva de toda a infraestrutura do grupo.
O incidente reforça a importância de monitorar identidades de aplicativos com o mesmo rigor aplicado às contas humanas. Permissões excessivas, credenciais de longa duração e integrações pouco revisadas podem transformar uma relação legítima entre fornecedor e cliente em um caminho de entrada para invasores.
Para reduzir esse risco, empresas podem limitar o acesso de aplicativos ao mínimo necessário, revisar periodicamente consentimentos OAuth e acompanhar mudanças em credenciais e funções privilegiadas. A autenticação multifator também é importante para contas humanas, embora não resolva sozinha os abusos envolvendo identidades de serviço. A combinação de privilégios mínimos, registros de auditoria preservados e alertas para atividades anormais torna mais provável detectar uma intrusão antes que ela se transforme em acesso persistente.