**La Amenaza de Storm-0940: Un Análisis de la Comprometida Cadena de Suministro de ConnectWise**
En un contexto global donde la ciberseguridad se ha convertido en una prioridad urgente para gobiernos y empresas, la reciente revelación de Microsoft sobre Storm-0940, un grupo alineado con el estado chino, arroja luz sobre las tácticas sofisticadas que emplean los actores de amenazas en la actualidad. Este grupo ha sido identificado como responsable de la vulneración de la cadena de suministro de ConnectWise Cloud Backup, un incidente que no solo afecta a la empresa en cuestión, sino que tiene repercusiones significativas para cientos de organizaciones en sectores críticos como la defensa, la energía, los servicios financieros y la manufactura.
**Detalles Técnicos de la Amenaza**
El informe técnico de Microsoft detalla cómo Storm-0940 utilizó ARTEX, un marco de pruebas de penetración impulsado por inteligencia artificial y de código abierto, para llevar a cabo ataques a gran velocidad contra múltiples entidades. Este enfoque no solo permitió a los atacantes operar a una velocidad superior a la habitual, sino que también facilitó el acceso privilegiado a la infraestructura en la nube de varias organizaciones. Según el informe, en algunos casos, el tiempo transcurrido desde el objetivo inicial hasta el acceso privilegiado fue inferior a tres horas, una métrica alarmante que subraya la efectividad del grupo.
Storm-0940 ha estado activo desde 2021 y, a lo largo de su trayectoria, ha utilizado técnicas como el "password spraying" y el abuso de aplicaciones de OAuth para infiltrarse en entornos de Microsoft 365. Sin embargo, la incorporación de ARTEX ha ampliado enormemente su capacidad operativa. Un ataque de "password spraying" lanzado entre el 10 y el 14 de octubre permitió al grupo recopilar credenciales de varias cuentas de ConnectWise. En este periodo, se registraron más de 151,000 intentos fallidos de inicio de sesión en 327 cuentas de ocho organizaciones, alcanzando un pico de 2,900 intentos por minuto el 11 de octubre.
El escenario cambió drásticamente el 15 de octubre, un día después de que se hiciera público el incumplimiento de seguridad de ConnectWise. En lugar de continuar con el ataque de "password spraying", los agentes de Storm-0940 optaron por un método diferente, logrando así acceder a las credenciales de varias cuentas de aplicaciones en la nube de ConnectWise. Utilizando estas credenciales, los atacantes pudieron ingresar directamente a los entornos de Microsoft 365 de los clientes, eludiendo la necesidad de que un usuario se autenticara de forma interactiva.
**Impacto y Consecuencias de la Vulnerabilidad**
El uso de ARTEX no solo aceleró los ataques, sino que también permitió a Storm-0940 abusar de aplicaciones comprometidas ya autorizadas para autenticar a los entornos de los clientes de Microsoft 365. Esto resulta en un riesgo significativo, ya que los atacantes pueden operar sin necesidad de interacción directa, lo que complica enormemente las defensas tradicionales de ciberseguridad. Microsoft destacó que, en entornos donde la autenticación fue exitosa, los agentes no se detuvieron al obtener acceso. En su lugar, llevaron a cabo una exploración de directorios mediante Microsoft Graph, modificaron credenciales de aplicación para establecer persistencia y realizaron cambios en identidades, grupos y roles privilegiados.
La implicación de este comportamiento es clara: las modificaciones realizadas por los atacantes pueden permanecer activas como puertas traseras, incluso después de que la aplicación original comprometida sea mitigada. Un atacante que haya añadido sus propias credenciales a una aplicación de confianza antes de que se revocara el acceso aún puede tener una llave de entrada válida. Por tanto, se recomienda que las organizaciones revisen todas las adiciones de credenciales de servicio principal desde al menos el 1 de octubre, y no esperar hasta el anuncio del incumplimiento el 15 de octubre.
**Contexto Histórico y Tendencias en Ciberamenazas**
ARTEX no es una herramienta exclusiva de Storm-0940. Microsoft ha informado que actores de amenazas en varias regiones han utilizado este mismo marco. Originalmente de código abierto, ARTEX fue escrito en Go y puede emplear diferentes modelos de inteligencia artificial para planificar y ejecutar tareas. Investigadores de Zscaler y Recorded Future también identificaron a un grupo de habla china que utilizaba ARTEX para atacar instituciones financieras en Corea del Sur. Tras la divulgación pública de estos ataques, el proyecto se volvió privado, aunque aquellos que ya tienen una copia pueden seguir utilizándolo.
El informe de Microsoft enfatiza repetidamente la velocidad como un factor crítico en estos ataques. Los agentes de inteligencia artificial no conocen el descanso; pueden operar las 24 horas del día, los 7 días de la semana, y ejecutar múltiples rutas de ataque simultáneamente. Esto demuestra cómo los actores de amenazas están integrando la inteligencia artificial en sus flujos de trabajo de seguridad ofensiva existentes, lo que les permite escalar sus operaciones de manera exponencial. La capacidad de los agentes para trabajar sin limitaciones humanas reduce de forma drástica el tiempo desde la selección de un objetivo hasta la consecución de los objetivos, aumentando así la velocidad y el impacto de ataques complejos como las vulneraciones de cadena de suministro.
Cuando Storm-0940 obtuvo credenciales de aplicación válidas, no tuvieron que proceder con lentitud. El grupo alcanzó 2,250 inquilinos con 2,900 intentos de inicio de sesión por minuto, un ritmo al que la detección y respuesta manual simplemente no pueden mantenerse al día.
**Recomendaciones para la Mitigación de Riesgos**
Ante esta situación, es crucial que las organizaciones implementen medidas de mitigación adecuadas. La revisión exhaustiva de las credenciales de acceso y la implementación de estrategias de autenticación multifactor (MFA) se presentan como medidas necesarias para proteger los entornos críticos. Además, la educación continua de los empleados sobre las prácticas de seguridad y la vigilancia constante de actividades sospechosas son vitales para prevenir futuros incidentes.
El informe de Microsoft nos recuerda que la ciberseguridad es una batalla constante, donde la vigilancia y la adaptación son esenciales para protegerse contra amenazas emergentes y sofisticadas como las que representa Storm-0940.
Sigue mis actualizaciones en Twitter: @securityaffairs y en Facebook y Mastodon.
Pierluigi Paganini
(SecurityAffairs – hacking, ARTEX)