A Microsoft atribuiu a Storm-0940, grupo alinhado ao Estado chinês, o comprometimento de aplicativos multi-tenant da ConnectWise. A empresa informou que o grupo tentou fazer login em mais de 2.250 tenants do Microsoft 365, ou seja, ambientes de organizações na nuvem. A maioria das tentativas não teve sucesso, mas a Microsoft observou atividade posterior em vários ambientes.
O que os mais de 2.250 tenants representam
O número mede tentativas de login, não uma contagem de invasões confirmadas. A Microsoft relatou atividade posterior em vários ambientes de clientes e disse que alguns ataques chegaram a obter acesso privilegiado à nuvem. Em alguns casos, isso ocorreu em menos de três horas desde o início do direcionamento.
Uma autenticação bem-sucedida, por si só, não indica necessariamente que dados de clientes foram acessados ou extraídos, segundo a Microsoft. A empresa observou reconhecimento pelo Microsoft Graph, alterações em credenciais de aplicativos e tentativas de modificar identidades, grupos e funções privilegiadas em múltiplos ambientes.
Duas operações, métodos e resultados diferentes
A atividade com identidades de aplicativos da ConnectWise e uma operação separada de pulverização de senhas ocorreram em períodos próximos, mas tiveram métodos e resultados distintos. Pulverização de senhas, ou password spraying, é a tentativa de usar senhas em várias contas.
| Operação | Período | Método | Resultado relatado pela Microsoft |
| Abuso de aplicativos da ConnectWise | A partir de 15 de outubro de 2026 | Uso de identidades de aplicativos da ConnectWise que já tinham acesso a ambientes de clientes | Tentativas de login em mais de 2.250 tenants; atividade posterior em vários ambientes e acesso privilegiado em alguns ataques |
| Pulverização de senhas | De 10 a 14 de outubro de 2026 | Tentativas contra contas de usuários em oito organizações | Mais de 151 mil falhas de login; nenhuma autenticação bem-sucedida, emissão de token, chamada ao Graph ou alteração de diretório observada |
Na operação de pulverização de senhas, o pico de 2.900 tentativas malsucedidas por minuto ocorreu em 11 de outubro. Mais de 111 mil falhas se concentraram em um único dia; 48 contas receberam mais de mil tentativas cada, e respostas de bloqueio representaram quase 98% da atividade. Esses números pertencem à operação separada, não ao abuso dos aplicativos da ConnectWise.
Como o ARTEX e os aplicativos autorizados entraram na operação
A Microsoft afirma que Storm-0940 usava o ARTEX para automatizar ataques desde setembro de 2026. A empresa descreve o ARTEX como um framework de pentest de código aberto, baseado em grandes modelos de linguagem e composto por vários agentes, capaz de automatizar etapas ofensivas com pouca interação humana.
No caso da ConnectWise, os aplicativos já tinham acesso autorizado aos ambientes de clientes. Assim, o grupo podia usá-los sem depender do login interativo de uma pessoa. Depois da autenticação, a Microsoft observou reconhecimento no Microsoft Graph, mudanças em credenciais de aplicativos e tentativas de alterar identidades, grupos e funções privilegiadas. Algumas operações alcançaram acesso privilegiado à nuvem em menos de três horas desde o início do direcionamento.
Serviços suspensos e restauração gradual
A ConnectWise suspendeu Cloud Backup, SaaS Security e Cloud Management após identificar acesso não autorizado a identidades de aplicativos do Cloud Backup. A empresa informou que concluiu a redefinição de contas e credenciais do ambiente afetado em 19 de outubro e iniciou a restauração controlada em 21 de outubro.
Em uma atualização publicada em 23 de outubro no horário UTC, a ConnectWise descreveu testes e validações de segurança para uma restauração em etapas. A empresa previa liberar primeiro o acesso à restauração de cópias existentes, condicionado à conclusão bem-sucedida dessa validação, e iniciar depois a reinscrição dos serviços por fases.
A ConnectWise afirmou que os arquivos de backup existentes continuavam criptografados, isolados e preservados, sem indícios de acesso. Essa declaração se refere aos arquivos armazenados no Cloud Backup; a empresa disse que sua investigação não permitia determinar se o ambiente Microsoft 365 ativo de um cliente específico havia tido atividade não autorizada.
O que os administradores devem revisar
A Microsoft recomenda revisar os registros de entrada de principais de serviço, identidades usadas por aplicativos para se autenticar, e correlacioná-los com atividades posteriores no Microsoft Graph, no diretório e nos recursos acessados. A orientação também inclui investigar credenciais de aplicativos adicionadas inesperadamente, novas permissões e atribuições de funções privilegiadas, além de preservar registros e evidências.
A ConnectWise orientou manter desativadas as conexões de aplicativos afetadas até fornecer instruções formais para reativá-las.
