Os atacantes conseguiram aceder a ambientes Microsoft 365 utilizando identidades de aplicações ConnectWise que as organizações tinham autorizado, sem necessitar da palavra-passe ou da autenticação multifator dos utilizadores. Segundo a Microsoft, o grupo Storm-0940 é responsável pelo comprometimento, e uma ferramenta chamada ARTEX terá servido para acelerar várias etapas da operação.
Um tenant, ou seja, o espaço de trabalho de uma organização no Microsoft 365, pode ser administrado por aplicações às quais foram concedidas permissões. Quem controla essas identidades dispõe, portanto, em cada um desses tenants, dos direitos da aplicação. Em vários casos da campanha realizada desde setembro, menos de três horas decorreram entre o primeiro direcionamento e a obtenção de um acesso privilegiado, segundo a Microsoft, que não especifica se essas organizações eram clientes da ConnectWise.
A Microsoft «estima» que o Storm-0940 está na origem do comprometimento, sem publicar um nível de confiança. A ConnectWise, por seu lado, indicou não poder «discutir a atribuição nesta fase», antes de tomar nota, a 21 de outubro, das conclusões da Microsoft na página de aviso do seu Trust Center. A sua página de estado não menciona nem o Storm-0940 nem a IA.
ARTEX, uma ferramenta de código aberto com usos reportados
O ARTEX é um sistema multiagente, ou seja, um conjunto de programas de IA capazes de agir de forma autónoma, escrito em Go e publicado em código aberto. Segundo uma nota da Cloud Security Alliance, foi colocado online a 26 de julho de 2026 por um desenvolvedor que assa como Autumn-27. A CrowdStrike ligou-o no início de outubro a intrusões em instituições financeiras sul-coreanas. A 8 de outubro, o desenvolvedor terá retirado o projeto do GitHub e anunciado o fim das atualizações, com uma passagem para código fechado, mas uma página do projeto permanece pública a 22 de outubro.
A Microsoft escreve que o Storm-0940 utilizou o ARTEX para acelerar a reconhecimento, a pulverização de palavras-passe (uma mesma palavra-passe comum testada numa série de contas) e o abuso de aplicações OAuth. O ARTEX «pode utilizar qualquer modelo de IA» e conduz uma intrusão desde a reconhecimento até à exfiltração «com pouca interação humana», segundo o mesmo artigo, que não especifica a parte humana da operação nem o modelo utilizado. A campanha de pulverização realizada de 10 a 14 de outubro de 2026 produziu mais de 151 mil falhas contra 327 contas de oito organizações, sem que nenhuma autenticação bem-sucedida tenha sido observada, segundo a Microsoft.
Tentativas e ligações bem-sucedidas
A Microsoft indica que o atacante tentou ligar-se a mais de 2250 tenants, e que a maioria deste direcionamento falhou. A empresa não dá qualquer número de tenants comprometidos e esclarece que uma autenticação bem-sucedida «não indica necessariamente» um acesso aos dados ou a sua exfiltração.
A Huntress, uma editora de segurança, examinou mais de 10 mil tenants equipados com aplicações ConnectWise. Contava 162 com ligações não autorizadas confirmadas a 16 de outubro, depois quase 1000 visados a partir de um único endereço IP a 17 de outubro, dos quais mais de 300 com uma ligação bem-sucedida. Em cerca de cinquenta tenants seguidos, as aplicações atribuíram-se a si próprias funções de administração do diretório, sobretudo a de administrador Exchange.
A ConnectWise reportou a 16 de outubro «tentativas» de acesso ao ambiente Cloud Backup, o antigo SkyKick. A 17 de outubro, a editora reconheceu um acesso não autorizado a identidades de aplicação, desativou sete e revogou os certificados em causa. A 19 de outubro, todas as contas e credenciais do ambiente afetado foram repostas. O restabelecimento por fases começou a 21 de outubro e deve durar «vários dias». Os arquivos de cópia de segurança estão «encriptados, isolados e preservados, sem indicação de comprometimento», segundo a empresa, que confiou a investigação a um gabinete externo que não nomeia.
A Microsoft recomenda, nomeadamente, deixar desativadas as ligações ConnectWise afetadas, conservar os registos Microsoft Entra e examinar a atividade desde pelo menos 15 de outubro de 2026. A ConnectWise indica que os tokens de acesso já emitidos «podem permanecer utilizáveis» até à sua expiração ou invalidação.
