Hackers chineses usam IA para invadir clientes da ConnectWise
Hackers ligados à China usaram o framework de IA agêntica ARTEX para invadir mais de 2.250 clientes corporativos da ConnectWise em velocidade de máquina, segundo a Microsoft.
Por Denise Sampaio · Repórter de Segurança
O que aconteceu
Hackers vinculados ao governo chinês, identificados pela Microsoft como o grupo Storm-0940, invadiram o aplicativo de backup em nuvem da ConnectWise, uma gigante americana de software de gestão remota usada por provedores de serviços de TI em todo o mundo, e usaram as credenciais roubadas para atacar mais de 2.250 clientes corporativos que rodam Microsoft 365. Como essas credenciais já tinham acesso autorizado aos ambientes dos clientes, os invasores nem precisaram fazer login interativo — o que ajudou a contornar a autenticação multifator.
O diferencial do ataque foi o uso do ARTEX, um framework de IA agêntica de código aberto originalmente criado para testar a resistência de defesas cibernéticas. Nas mãos dos invasores, ele automatizou reconhecimento, varredura e tentativas de login numa velocidade impossível para humanos — entre 2.900 e 3.000 tentativas por minuto contra os mais de 2.250 clientes afetados. Em alguns casos, os hackers passaram da escolha do alvo ao acesso privilegiado em menos de três horas.
Foto: reprodução/theregister.com
Quem é afetado
Os setores mais atingidos foram aeroespacial e defesa, automotivo, energia, serviços financeiros, governo, jurídico, manufatura, semicondutores, tecnologia e think tanks. A Microsoft afirma que a maioria das tentativas falhou, mas reconhece que os invasores conseguiram estabelecer acesso privilegiado persistente em "numerosas organizações" — sem detalhar quantas, nem se dados chegaram a ser roubados.
O que fazer agora
Para quem usa a ConnectWise ou depende de um provedor de TI terceirizado que a utiliza, o momento pede atenção redobrada:
- Verifique com seu provedor de TI se ele usa aplicativos da ConnectWise e se já aplicou as correções recomendadas pela empresa;
- Troque senhas e credenciais de API ligadas a integrações com a ConnectWise, mesmo sem confirmação de comprometimento direto;
- Monitore logs de acesso ao Microsoft 365 por tentativas de login fora do padrão, especialmente fora do horário comercial;
- Ative autenticação multifator resistente a phishing (como chaves de segurança físicas) em contas administrativas, já que o ataque mirou justamente esse ponto;
- Acompanhe comunicados oficiais da ConnectWise, que pausou o acesso ao sistema de backup em nuvem e abriu investigação sobre o incidente.