Microsoft: Storm-0940 usó agentes de IA en el ataque a ConnectWise

Microsoft asegura que Storm-0940, un grupo de hackers alineado con China, utilizó agentes de IA para entrar en el servicio ConnectWise Cloud Backup y llegar a las cuentas de Microsoft 365 de sus clientes. Microsoft Threat Intelligence publicó sus conclusiones el 21 de octubre. ConnectWise había revelado la brecha el 16 de octubre en un aviso de seguridad y, ese mismo día, la firma Huntress publicó su primer análisis, según informa The Next Web.

Cómo se desarrolló el ataque

ConnectWise Cloud Backup, antes SkyKick, permite a los proveedores de servicios de TI respaldar los datos de Microsoft 365 de sus clientes. Funciona con aplicaciones que tienen amplio acceso a las cuentas, de modo que sus identidades son una vía de entrada atractiva. Según Microsoft, Storm-0940 comprometió varias de ellas, las usó para acceder a cuentas de clientes y, en algunos casos, añadió nuevas claves de autenticación y cambió roles de administrador para mantener el acceso.

El grupo empleó ARTEX, una herramienta gratuita y de código abierto basada en agentes de IA que funciona con distintos modelos. Los equipos de seguridad también pueden usarla para probar sus propios sistemas. Microsoft indica que los agentes escanearon redes, intentaron adivinar contraseñas y explotaron permisos de aplicaciones con poca intervención humana. No identificó el modelo de IA utilizado.

Storm-0940 intentó iniciar sesión en más de 2.250 tenants de Microsoft 365, con hasta 2.900 intentos por minuto. La mayoría falló, pero en algunos casos el grupo logró acceso de alto nivel a la nube en tres horas. Microsoft señala que está activo desde 2021 y ataca sectores como defensa, gobierno, derecho, energía y semiconductores.

Impacto y respuesta

Huntress confirmó brechas en 162 tenants hasta el 16 de octubre y después identificó casi 1.000 con intentos de acceso, más de 300 de ellos exitosos. ConnectWise desactivó siete identidades de aplicaciones el 17 de octubre y dejó Cloud Backup fuera de línea. No ha respondido públicamente a la atribución de Microsoft; un portavoz dijo a The Record que no había "indicios" de que los datos de respaldo se vieran comprometidos.

Microsoft subraya que el incidente no se debió a una vulnerabilidad de sus sistemas. Recomienda mantener desactivadas las integraciones de ConnectWise hasta que la empresa confirme que pueden restaurarse con seguridad y revisar los registros de inicio de sesión desde al menos el 15 de octubre. ConnectWise empezó a restablecer el servicio por fases el 21 de octubre y prevé que tarde varios días.