🛡 THREAT INTELLIGENCE 🛡

Microsoft vincula a Storm-0940 con el ataque a la cadena de suministro de ConnectWise.

⏰23 de octubre de 2026🛡CyberObservatorio

Idioma

◢ THREAT INTELLIGENCE ◣

Microsoft vincula a Storm-0940 con el ataque a la cadena de suministro de ConnectWise.

⟫ 22/10/2026 ⟫ Jai Vijayan

Fuente: Dark Reading

**El uso de IA en ciberataques: el caso de Storm-0940 y ConnectWise**

La creciente sofisticación de los ciberataques ha llevado a las organizaciones a estar en un estado de vigilancia constante. Recientemente, un grupo de actores de amenazas vinculado a China, conocido como Storm-0940, ha demostrado cómo la inteligencia artificial (IA) puede ser utilizada para acelerar ataques a la cadena de suministro, particularmente en el contexto de ConnectWise Cloud Backup. Este tipo de incidentes no solo pone en riesgo a las empresas afectadas, sino que también plantea serias preocupaciones sobre la seguridad cibernética a nivel global, afectando a un amplio espectro de industrias, desde la manufactura hasta los servicios financieros.

Storm-0940 utilizó un marco de pruebas de penetración basado en IA para facilitar su ataque, lo que les permitió comprometer credenciales de aplicación relacionadas con el servicio y tratar de acceder a los entornos de Microsoft 365 de más de 2,250 inquilinos. Según un análisis publicado por Microsoft, en múltiples ocasiones, los atacantes lograron obtener acceso privilegiado a la infraestructura en la nube de diversas organizaciones en menos de tres horas tras el ataque inicial. Este fenómeno resalta la forma en que los actores de amenazas están integrando herramientas de IA en sus flujos de trabajo de seguridad ofensiva, ampliando exponencialmente sus operaciones.

ConnectWise, una empresa que proporciona tecnología de gestión de software y TI para proveedores de servicios gestionados, fue el foco de este ataque. Su software permite a los proveedores realizar copias de seguridad y recuperar datos de Microsoft 365, lo que requiere que la empresa tenga acceso autorizado a los entornos de sus clientes. El 16 de octubre, ConnectWise reveló que había habido un acceso no autorizado a identidades de aplicación asociadas a su producto de Cloud Backup. A pesar de que la empresa publicó detalles adicionales y orientaciones sobre contención, no ha aclarado públicamente cómo los atacantes lograron tomar control inicial de estas identidades.

Microsoft ha caracterizado este incidente como parte de una campaña más amplia de Storm-0940, que comenzó tan pronto como en septiembre y ha impactado a cientos de organizaciones en todo el mundo, en sectores tan variados como la manufactura, la energía, la defensa y los servicios financieros. Los investigadores de Microsoft han observado que el grupo ha utilizado un marco de pruebas de penetración denominado ARTEX para automatizar y acelerar sus operaciones. Este marco permite a los atacantes realizar actividades como reconocimiento, cambios en credenciales de aplicación y modificaciones de privilegios de manera rápida y eficiente.

Durante el ataque a ConnectWise, Storm-0940 utilizó ARTEX para llevar a cabo tareas de reconocimiento y escaneo, así como ataques de "password spraying" y abusos de OAuth. Microsoft reportó que el grupo intentó iniciar sesión en más de 2,250 inquilinos, generando hasta 2,900 intentos de inicio de sesión por minuto. Este ritmo acelerado dejó a los defensores con poco tiempo para detectar y responder a la actividad maliciosa.

La respuesta de ConnectWise fue suspender su servicio de Cloud Backup y tomar offline sus servicios de SaaS Security y Cloud Management. En una actualización del 22 de octubre, la empresa indicó que continuaba trabajando en la restauración de los servicios interrumpidos y exhortó a sus clientes a mantener las conexiones de aplicación afectadas fuera de línea hasta nuevo aviso. La compañía aseguró que los archivos de copia de seguridad existentes permanecen encriptados, aislados y preservados, sin indicios de compromiso.

En medio de esta situación, Microsoft ha proporcionado directrices sobre mitigación y protección, recomendando revisar cada inquilino de Microsoft 365 que pudiera estar vinculado a ConnectWise y conservar registros y otras evidencias forenses antes de realizar cualquier cambio. Ross Filipek, CISO de Corsica Technologies, enfatiza la importancia de que las organizaciones afectadas tengan una comprensión clara de lo que pudo haber sucedido en su entorno antes de reconectarse con ConnectWise. Destaca que los cambios en las credenciales de la aplicación observados por Microsoft podrían ofrecer a los atacantes una vía de entrada a entornos comprometidos.

Filipek aconseja mantener las conexiones afectadas deshabilitadas de acuerdo con la orientación del proveedor y examinar los cambios no autorizados que podrían permitir un nuevo acceso. La preservación de evidencias es crucial y debe llevarse a cabo sin demoras en la contención. Además, plantea una cuestión comercial inmediata: ¿siguen funcionando las copias de seguridad? Es esencial que se designe a alguien en cada lado para revisar la cobertura durante la interrupción y verificar que los trabajos de copia de seguridad se completen y que la recuperación funcione adecuadamente.

De cara al futuro, las organizaciones deben tener un plan de recuperación que contemple la posibilidad de perder el acceso a un servicio crítico para la recuperación de datos. Los respondedores a incidentes deberían conocer cuáles aplicaciones están conectadas al inquilino de Microsoft 365 de la organización y cómo interrumpir rápidamente esas conexiones cuando sea necesario.

Por su parte, Jon Baker, vicepresidente de defensa informada sobre amenazas en AttackIQ, enfatiza la necesidad de preservar registros de inicio de sesión y auditoría, así como investigar las actividades de inicio de sesión de la aplicación y cualquier acceso inusual a datos. "Eliminar el acceso no autorizado confirmado y verificar la remediación del proveedor y del inquilino por separado es crucial", aconseja. "Después de la contención, una validación controlada puede probar si el comportamiento de la aplicación comparable aún puede acceder a recursos sensibles o establecer otro punto de apoyo".

En resumen, el ataque de Storm-0940 a ConnectWise no solo destaca la evolución de las técnicas de ataque empleadas por los cibercriminales, sino que también subraya la necesidad de una vigilancia continua y un enfoque proactivo en la defensa cibernética. La integración de la inteligencia artificial en estas tácticas ofensivas plantea un nuevo desafío que las organizaciones deben enfrentar con urgencia.

◢ THREAT INTELLIGENCE ◣

Microsoft Links Storm-0940 to ConnectWise Supply Chain Attack

⟫ 22/10/2026 ⟫ Jai Vijayan

Source: Dark Reading

A China-linked threat actor that Microsoft tracks as Storm-0940 used an agentic AI penetration-testing framework to accelerate a supply chain attack involvingConnectWise Cloud Backup. The attackers used compromised application credentials associated with the service to attempt to access the Microsoft 365 environments of more than 2,250 downstream customer tenants. In multiple instances, the attackers obtained privileged access to an organization’s cloud infrastructure in less than three hours after initial targeting, Microsoft said in ananalysispublished this week. The activity demonstrates how threat actors are integrating agentic AI into existing offensive security workflows and scaling their operations exponentially, Microsoft researchers wrote. "While the majority of the targeting wasn't successful, Storm-0940 achieved privileged cloud persistence at many organizations in a brief time," they said. ConnectWise provides software and IT management technology that managed service providers use to deliver a broad range of services to their customers, including backup and recovery for Microsoft 365 data. Delivering these services requires the company to have authorized application access to customer Microsoft 365 environments to back up and restore data. On Oct. 16,ConnectWise disclosedunauthorized access to application identities associated with its Cloud Backup product. The company subsequentlypublished additional detailsand containment guidance but has not publicly explained how the attackers initially gained control of the application identities. Microsoft described the incident as part of a broader Storm-0940 campaign that began as early as September and targeted hundreds of organizations worldwide across several industries including manufacturing, aerospace, chemicals, energy, defense, and financial services. The threat actor has been using an AI penetration-testing framework called ARTEX to automate and accelerate its operations. "In multiple affected environments, Microsoft observed AI-accelerated follow-on activity through Microsoft Graph, including reconnaissance, application credential changes, and attempts to modify privileges that could enable expanded or persistent access," Microsoft said. In the ConnectWise incident, Storm-0940 used ARTEX to accelerate reconnaissance and scanning, password spraying, and OAuth application abuse. The threat actor used ARTEX to attempt sign-ins to more than 2,250 tenants, generating as many as 2,900 sign-in attempts per minute. That pace left defenders with little time to detect and respond to the activity, Microsoft noted. "Storm-0940's activity illustrates how a threat actor with a broad target set can use an agentic AI tool and privileged authentication material to quickly attempt to compromise many organizations," the company said. ConnectWise suspended its Cloud Backup service and also took its SaaS Security and Cloud Management services offline following the incident. In an Oct. 22 update, the company noted it was continuing work on restoring disrupted services and urged customers to keep affected ConnectWise application connections offline till further notice. "Investigation and monitoring continue alongside restoration. Existing backup archives remain encrypted, isolated and preserved, with no indication of compromise," the company said. ConnectWise called on customers to review their individual Microsoft 365 environments using the company'stechnical investigation and remediation guideand related information. Microsoft meanwhile highlighted its own mitigation and protection guidance, which included recommendations like reviewing every Microsoft 365 tenant that might have been tied to ConnectWise and to preserve logs and other forensic evidence before making any changes. Ross Filipek, CISO at Corsica Technologies, says that before reconnecting with ConnectWise, affected organizations should have a clear understanding of what might have happened inside their environment. He pointed to Microsoft's discovery of application credential changes that could give attackers a way back in to compromised environments. Organizations are going to need to investigate their Microsoft 365 environments are safe before they reconnect, he says. "Keep affected connections disabled in line with vendor guidance. Investigate unauthorized changes that could leave another way in. Preserve evidence without delaying containment," Filipek tells Dark Reading. "There's also an immediate business question: Are backups still running? Assign someone on each side to check coverage during the interruption. A restored connection needs verification that backup jobs are completing and recovery works." Going forward, organizations need to have a recovery plan that takes into account the potential of their losing access to a service that they normally would depend on for recovery, Filipek adds. Incident responders should know which applications connect to the organization's Microsoft 365 tenant and how to quickly sever those connections when necessary, and exercise that scenario with their service provider. "Establish who checks backup coverage during containment and who decides whether the business can tolerate the interruption. Leaving those responsibilities implied is how both sides end up assuming the other has checked," he says. Jon Baker, vice president of threat informed defense at AttackIQ, wants affected organizations to preserve sign-in and audit records and to investigate application sign-ins, Microsoft Graph activity, new credentials, privilege changes and unusual data access. "Remove confirmed unauthorized access and verify vendor and tenant remediation separately," he advises. "After containment, controlled validation can test whether comparable application behavior can still reach sensitive resources or establish another foothold."

𝐗 Twitter f Facebook ☎ WhatsApp ✈ Telegram

← VOLVER A CIBERSEGURIDAD