Storm-0940 usa IA y una aplicación de ConnectWise para entrar en tenants de Microsoft 365
Microsoft atribuye a Storm-0940 una campaña que usó identidades ya autorizadas de la aplicación ConnectWise Cloud Backup para entrar en tenants de Microsoft 365.
Qué ha pasado
Microsoft atribuye la campaña a Storm-0940, un actor alineado con China. El grupo comprometía la aplicación ConnectWise Cloud Backup y usaba sus identidades de aplicación, que ya estaban autorizadas en los tenants, para entrar sin ningún inicio de sesión de usuario. Para multiplicar el alcance empleó ARTEX, un sistema de varios agentes de IA, con el que intentó acceder a más de 2.250 tenants; en algunos casos logró acceso privilegiado en menos de tres horas. ConnectWise publicó su primer aviso el 16 de octubre.
Por qué importa
El acceso no venía de una contraseña robada, sino de una confianza ya concedida: la aplicación del proveedor estaba autorizada dentro del cliente y nadie tenía que aprobar nada en el momento del ataque. Una vez dentro, el grupo cambió credenciales de aplicaciones, grupos y roles privilegiados. Esos cambios pueden seguir actuando como puerta trasera aunque se corrija la aplicación original, así que el problema no se cierra solo actualizando ConnectWise. El detalle de que el trabajo lo acelerase un sistema de agentes de IA explica que el ritmo no sea el de un equipo humano revisando tenant a tenant.
Qué recomendamos
Revisar los permisos de aplicaciones de proveedores en Microsoft 365, las credenciales añadidas a aplicaciones y los cambios recientes en roles y grupos. Cualquier permiso o credencial que nadie autorizó es un indicio que hay que tratar como incidente, no como una configuración que se corrige y se olvida. Conviene hacerlo también sobre las aplicaciones que se dieron de alta hace meses y que nadie revisa desde entonces.
Servicio relacionado: Respuesta a incidentes · SOC gestionado
¿Quieres saber cómo te afecta?
Revisamos tu entorno y te decimos qué hay que priorizar, sin compromiso.