Abertura
Em junho de 2024, a Microsoft divulgou que o ator de ameaças ligado à China, identificado como Storm-0940, conduziu um ataque à cadeia de suprimentos contra a plataforma ConnectWise, afetando mais de 2.200 locatários. O incidente foi detectado por meio de monitoramento interno da Microsoft e confirmado por análises de tráfego e indicadores de comprometimento. A empresa alertou clientes e parceiros sobre a necessidade de revisão de medidas de segurança.
Contexto
Historicamente, grupos patrocinados por estados têm explorado vulnerabilidades em softwares de gestão para alcançar múltiplas organizações simultaneamente. Nesse cenário, Storm-0940 tem sido associado a campanhas que combinam técnicas tradicionais de infiltração com recursos avançados de inteligência artificial. A escolha da ConnectWise como alvo reflete a estratégia de comprometer provedores de serviços que atendem a um grande número de empresas, ampliando o potencial de impacto. A Microsoft, ao identificar a campanha, colaborou com a equipe de segurança da ConnectWise para analisar a cadeia de eventos que culminou no comprometimento.
Impacto
Para as empresas que utilizam a solução da ConnectWise, o comprometimento pode significar acesso não autorizado a dados sensíveis, interrupções operacionais e risco de propagação de malware adicional. Até o momento, não há relatos de vazamento de informações confidenciais, mas a exposição de credenciais e a possibilidade de movimentação lateral dentro das redes dos clientes permanecem como ameaças concretas. Analistas estimam que o número de organizações afetadas pode crescer caso outras instâncias da plataforma não adotem rapidamente as correções recomendadas.
Detalhes técnicos
Do ponto de vista técnico, o ataque foi facilitado por uma ferramenta de teste de penetração habilitada por IA, que automatizou a varredura de vulnerabilidades e a exploração de pontos fracos na infraestrutura da ConnectWise. A ferramenta utilizou algoritmos de aprendizado de máquina para priorizar alvos com base em critérios como configuração de serviços, versões de software e padrões de autenticação. Uma vez dentro do ambiente, o grupo implantou scripts que criaram contas de serviço ocultas, permitindo a persistência e a coleta de credenciais. O uso de IA reduziu o tempo necessário para identificar vetores de ataque, acelerando a campanha em comparação com métodos manuais tradicionais.
Encerramento
Até o momento, a Microsoft recomenda que os clientes da ConnectWise apliquem imediatamente as atualizações de segurança disponibilizadas, revisem políticas de acesso privilegiado e monitorem atividades suspeitas nos logs de auditoria. Organizações que ainda não migraram para versões mais recentes do software devem acelerar o processo de atualização para mitigar riscos futuros. A colaboração entre fornecedores de tecnologia e equipes de resposta a incidentes permanece essencial para conter ameaças que combinam inteligência artificial com técnicas avançadas de infiltração. Fonte: Dark Reading.