A Microsoft descreveu uma campanha em que o grupo Storm-0940, com vínculos com o Estado chinês, usou o ARTEX, um framework de testes de invasão baseado em agentes de IA, para automatizar ataques contra centenas de organizações no mundo todo, de setores como defesa, energia, finanças, governo e tecnologia. Em vários casos, o grupo conseguiu acesso privilegiado à infraestrutura de nuvem das vítimas em menos de 3 horas desde o primeiro alvo.

Imagine um assaltante que, em vez de tentar uma porta por vez, contrata milhares de ladrões automáticos que trabalham de madrugada, nos fins de semana e feriados, testando várias entradas ao mesmo tempo. Isso ajuda a explicar o problema: os agentes não se cansam, o que reduz muito o tempo entre escolher um alvo e alcançar o objetivo, e torna ataques complexos, como os de cadeia de suprimentos, mais rápidos e com maior impacto.

O caso mais relevante envolve a ConnectWise, fornecedora de um aplicativo de backup na nuvem. Segundo a Microsoft, o Storm-0940 foi responsável pelo comprometimento da cadeia de suprimentos que atingiu essa empresa. Em 16 de outubro de 2026, a própria ConnectWise divulgou acesso não autorizado aos ambientes de seus clientes usando várias identidades de aplicativos OAuth. Depois disso, o grupo usou o ARTEX para alcançar mais de 2.250 ambientes de clientes, com cerca de 2.900 tentativas de login por minuto. Antes, entre 10 e 14 de outubro, já havia feito uma campanha de password spraying, que testa senhas comuns em muitas contas, contra 327 contas de oito organizações.

Ter o acesso a um aplicativo confiável dentro de um cliente é como ter a chave de uma porta que a empresa já aceita sem questionar. Por isso, os invasores usaram os aplicativos da ConnectWise para entrar nos ambientes do Microsoft 365 e, em alguns casos, mexer em grupos, funções administrativas e credenciais de aplicativos, o que pode deixar um backdoor ativo mesmo depois que o aplicativo original for afastado. A Microsoft ressalta que a presença de um aplicativo afetado ou um login bem-sucedido não prova que dados foram acessados ou roubados, e que nada disso veio de uma falha nos sistemas ou produtos da própria Microsoft.

Para quem usa Microsoft 365 ou serviços da ConnectWise, a recomendação é verificar os logins dos aplicativos e das identidades de serviço, investigar mudanças inesperadas em credenciais ou privilégios e acompanhar a atividade no Microsoft Graph. A empresa também indica o Microsoft Defender XDR, que tem detecções específicas para essa campanha, e pede que as organizações sigam as orientações de contenção e de restauração publicadas pela ConnectWise, preservando as evidências. Quando não houver orientação específica, o caminho é seguir as instruções oficiais de cada fabricante e manter os sistemas atualizados.