Microsoft atribui ataque à cadeia de suprimentos da ConnectWise ao grupo chinês Storm-0940
A Microsoft relacionou o comprometimento da cadeia de suprimentos da ConnectWise ao Storm-0940, grupo que, segundo a empresa, tem vínculos com o Estado chinês. A operação teria permitido que os invasores usassem a confiança depositada em aplicativos da fornecedora para tentar acessar ambientes de clientes e serviços do Microsoft 365.
De acordo com a análise técnica divulgada pela Microsoft, desde setembro de 2026 o grupo empregou o ARTEX, módulo de código aberto que utiliza inteligência artificial para automatizar testes de invasão. A ferramenta foi usada para conduzir tentativas de autenticação em centenas de organizações. Em alguns casos, o intervalo entre a escolha de um alvo e a obtenção de acesso privilegiado à nuvem foi inferior a três horas.
A Microsoft afirmou que o episódio não decorreu de uma vulnerabilidade em seus próprios sistemas ou serviços corporativos. A atividade investigada envolveu, entre outras técnicas, pulverização de senhas: em vez de testar muitas combinações em uma única conta, os atacantes experimentam algumas senhas comuns em um grande número de usuários, numa tentativa de evitar bloqueios automáticos.
Tentativas em milhares de ambientes
Durante a campanha, o Storm-0940 tentou autenticar-se em mais de 2.250 locatários – ambientes independentes de clientes na nuvem – a uma taxa que chegou a 2.900 tentativas por minuto. Entre 10 e 14 de outubro de 2026, a infraestrutura associada ao grupo, incluindo o endereço IP 144.172.64[.]99, realizou uma ofensiva automatizada contra 327 contas distribuídas por oito organizações.
A telemetria da Microsoft registrou mais de 151 mil eventos de login malsucedido. O maior volume ocorreu em 11 de outubro, quando foram contabilizadas até 2.900 falhas por minuto. Embora tentativas frustradas não comprovem, por si só, a invasão de uma conta, a escala e a velocidade da atividade justificam uma investigação cuidadosa dos registros de autenticação.
A etapa seguinte envolveu identidades de aplicativos em nuvem associadas à ConnectWise. Após obter controle dessas identidades, os invasores usaram a mesma faixa de IP para tentar entrar em ambientes de clientes com credenciais roubadas. A confiança previamente concedida aos aplicativos em cada locatário pode ter facilitado esse acesso.
Em alguns ambientes, os agentes avançaram para operações no Microsoft Graph e no diretório, recursos usados para administrar dados e identidades na nuvem. As ações observadas incluíram reconhecimento, alterações de credenciais para manter o acesso e modificações relacionadas a usuários, grupos e funções privilegiadas.
O que a Microsoft recomenda aos clientes
A orientação inicial é manter desativadas as conexões dos aplicativos da ConnectWise afetados até que a fornecedora publique instruções para restaurá-las. A Microsoft recomenda não excluir os aplicativos de imediato: antes de qualquer mudança irreversível, as equipes devem preservar configurações e evidências que possam ajudar a esclarecer o incidente.
Também é necessário inventariar os quatro identificadores de aplicativo mencionados no perfil técnico do caso e registrar, em cada locatário, o Object ID correspondente ao service principal. A busca deve ser feita pelo ID do aplicativo, e não apenas pelo nome exibido, já que nomes podem variar ou ser alterados.
As organizações devem verificar todos os ambientes do Microsoft 365 nos quais os aplicativos afetados estão instalados ou estiveram presentes. A revisão precisa incluir os registros de auditoria do Microsoft Entra e do Purview, além dos dados armazenados em ferramentas de SIEM. A Microsoft orienta analisar a atividade a partir de 15 de outubro de 2026 e separar logins bem-sucedidos daqueles que falharam.
A investigação não deve se limitar aos endereços IP divulgados. É importante examinar acessos originados de fontes desconhecidas, horários incomuns, alterações inesperadas em credenciais e permissões concedidas a aplicativos. Em incidentes confirmados, a recomendação é revogar permissões desnecessárias e trocar credenciais potencialmente expostas.
Medidas para reduzir o risco
A Microsoft disponibilizou detecções para o Defender XDR e o Defender for Cloud Apps, além de consultas de caça a ameaças no Sentinel e no Advanced Hunting. Entre os indicadores de comprometimento informados estão os IPs 144.172.64[.]128, 144.172.64[.]99 e 144.172.64[.]60, além dos endereços 187.15.88[.]186, 187.15.90[.]217 e 187.15.89[.]186. Esses dados podem apoiar a triagem, mas não substituem a análise completa dos registros.
O caso também reforça a importância de controlar as permissões concedidas a aplicativos de terceiros. Cada integração deve ter apenas os privilégios indispensáveis para funcionar, e as equipes devem revisar periodicamente aplicativos autorizados, credenciais associadas e contas de serviço sem uso.
A autenticação multifator ajuda a dificultar o acesso baseado apenas em senhas roubadas, mas não elimina todos os riscos. Por isso, convém combinar essa proteção com políticas de acesso condicional, monitoramento de logins anormais e alertas para alterações em funções administrativas, permissões OAuth e credenciais de aplicativos.
Em uma investigação desse tipo, a preservação de evidências deve preceder a limpeza do ambiente sempre que possível. Registros podem ser sobrescritos ou removidos conforme os prazos de retenção, portanto é importante exportá-los e documentar as ações realizadas. Isso permite reconstruir a sequência do ataque, identificar acessos bem-sucedidos e verificar se houve persistência.
Por fim, organizações que dependem de integrações externas devem manter um inventário atualizado dos aplicativos conectados aos seus serviços de nuvem. Saber quais fornecedores têm acesso, quais dados podem consultar e quem aprovou cada permissão reduz o tempo necessário para reagir quando uma relação de confiança é colocada em risco.