Em análise publicada em 21 de outubro de 2026, a Microsoft atribuiu a Storm-0940, grupo alinhado ao Estado chinês segundo sua avaliação, um comprometimento ligado ao aplicativo multitenant do ConnectWise Cloud Backup. A empresa também relatou que o grupo usou o ARTEX para acelerar atividades contra ambientes de clientes do Microsoft 365.
A Microsoft descreveu duas campanhas distintas: uma tentativa de password spraying contra contas de usuários e, depois, acessos com credenciais de aplicativos da ConnectWise. O password spraying é uma técnica que testa senhas comuns em várias contas. As medições de uma campanha não representam os resultados da outra.
Duas campanhas, duas formas de acesso
Na campanha de password spraying observada de 10 a 14 de outubro, a Microsoft registrou mais de 151 mil tentativas de login malsucedidas contra 327 contas em oito organizações. Não observou autenticação bem-sucedida, emissão de tokens, chamadas ao Microsoft Graph ou alterações no diretório nessa campanha.
| Campanha | Identidade usada | Atividade relatada pela Microsoft |
| Password spraying, de 10 a 14 de outubro | Contas de usuários | Mais de 151 mil tentativas malsucedidas contra 327 contas em oito organizações; nenhuma autenticação bem-sucedida ou atividade posterior observada |
| Campanha ligada ao ConnectWise Cloud Backup | Credenciais de aplicativos da ConnectWise | Tentativas de login em mais de 2.250 locatários, com pico relatado de 2.900 tentativas por minuto |
Um locatário é o ambiente organizacional de uma empresa no Microsoft 365. A cifra de mais de 2.250 se refere a locatários que receberam tentativas de login, não a um total de ambientes comprovadamente comprometidos.
A Microsoft afirmou que Storm-0940 já usava o ARTEX desde setembro de 2026. O framework de código aberto usa agentes baseados em modelos de linguagem para automatizar tarefas de testes de intrusão. Segundo a empresa, o grupo o empregou para acelerar varreduras, reconhecimento, password spraying e abuso de aplicativos OAuth, um padrão de autorização usado para permitir que aplicativos acessem serviços.
O que ocorreu depois dos acessos por aplicativo
A Microsoft relatou reconhecimento por meio do Microsoft Graph, mudanças em credenciais de aplicativos e tentativas de alterar privilégios em vários ambientes de clientes. Em um caso específico, a Huntress observou que o aplicativo ConnectWise Cloud Management - MS Teams atribuiu a si mesmo a função de Administrador Global e adicionou credenciais a outros dois aplicativos.
A Huntress descreveu a credencial usada pelo ConnectWise Cloud Backup como uma afirmação de cliente mantida no ambiente da fornecedora, e não como a senha de um usuário do cliente. O mecanismo ajuda a entender por que a campanha posterior envolveu identidades de aplicativos, em vez da tentativa de entrar diretamente em contas individuais.
Uma autenticação bem-sucedida, por si só, não prova que dados foram acessados ou exfiltrados. A Microsoft relatou atividade posterior em vários ambientes, mas não divulgou quantos clientes tiveram dados acessados ou roubados.
Resposta da ConnectWise e registros para revisar
A ConnectWise afirmou que identificou o acesso não autorizado a identidades de aplicativos em 14 de outubro de 2026. A empresa suspendeu o Cloud Backup, revogou certificados das conexões afetadas e informou que as credenciais compartilhadas do serviço deixaram de ser válidas. Também declarou que os arquivos de backup armazenados continuavam criptografados e isolados, sem indícios de acesso. Esse relato se refere aos arquivos guardados, enquanto a atividade em ambientes Microsoft 365 de clientes exige uma análise dos próprios registros dos locatários.
Para essa análise, a Microsoft recomenda revisar os logins de entidades de serviço e as atividades seguintes no Microsoft Graph, além de alterações em credenciais de aplicativos, funções privilegiadas, consentimentos e diretórios. A Huntress recomenda incluir integrações ConnectWise e SkyKick inativas, e verificar credenciais e funções associadas a aplicativos. Esses registros podem ajudar administradores a identificar atividade que precisa ser comparada com mudanças administrativas autorizadas.
