Por Canuto  

Microsoft sostiene que el grupo Storm-0940 usó agentes de IA para atacar identidades vinculadas a ConnectWise Cloud Backup e intentar entrar en cuentas de Microsoft 365. La campaña alcanzó miles de inquilinos y llevó a la compañía a recomendar que los clientes mantengan desactivadas las integraciones mientras continúa la respuesta al incidente.
***

  • Microsoft atribuyó la campaña a Storm-0940, un grupo alineado con China activo desde 2021, y señaló el uso de la herramienta abierta ARTEX, basada en agentes de IA.
  • Los atacantes intentaron iniciar sesión en más de 2.250 inquilinos de Microsoft 365; Huntress informó de intentos exitosos en más de 300.
  • ConnectWise desactivó siete identidades de aplicación y puso Cloud Backup fuera de línea; Microsoft recomendó mantener deshabilitadas las integraciones hasta confirmar una restauración segura.

Una ruta desde las copias de seguridad hacia Microsoft 365

Microsoft atribuyó a Storm-0940, un grupo de hackers alineado con China, una campaña que aprovechó identidades de aplicación vinculadas a ConnectWise Cloud Backup para acceder a cuentas de clientes de Microsoft 365. La empresa publicó sus hallazgos el 21 de octubre, después de que ConnectWise divulgara el incidente en un aviso de seguridad el 16 de octubre y Huntress compartiera ese mismo día su informe inicial. El caso pone el foco en los permisos que conectan servicios de respaldo con los entornos en la nube de sus clientes. Microsoft describió la operación en un informe sobre el uso de ARTEX y el compromiso de la cadena de suministro de ConnectWise.

ConnectWise Cloud Backup, antes conocido como SkyKick, permite a proveedores de servicios de tecnología de la información respaldar datos de Microsoft 365 de sus clientes. Para prestar esa función, el servicio se apoya en aplicaciones que tienen amplio acceso a las cuentas administradas, una arquitectura que facilita las tareas de respaldo, pero también crea una ruta potencial hacia sistemas conectados si una identidad de aplicación queda comprometida. Microsoft dijo que Storm-0940 vulneró varias de esas identidades y las usó para llegar a cuentas de clientes.

Microsoft también informó que, en algunos casos, los atacantes añadieron nuevas claves de autenticación y modificaron roles de administrador para conservar el acceso. Esas acciones, de acuerdo con la descripción de la compañía, no se limitaron a probar credenciales: apuntaron a mantener una vía de entrada y ampliar privilegios en las cuentas afectadas. La información disponible no establece que los datos respaldados hayan sido extraídos ni que todas las cuentas atacadas terminaran comprometidas, por lo que conviene distinguir entre intentos, accesos exitosos y robo de información.

La compañía indicó que Storm-0940 está activo desde 2021 y que ha apuntado a organizaciones de sectores como defensa, gobierno, derecho, energía y fabricación de semiconductores. La atribución a un grupo alineado con China corresponde a Microsoft y debe entenderse como la evaluación de sus investigadores, no como una conclusión independiente presentada en el aviso de ConnectWise. En esta campaña, el punto de acceso descrito fue el servicio de respaldo y las identidades de aplicación asociadas, no una vulnerabilidad en los sistemas propios de Microsoft.

Agentes de IA y una campaña de intentos masivos

Para llevar adelante la operación, Storm-0940 habría utilizado ARTEX, una herramienta gratuita y de código abierto construida en torno a agentes de inteligencia artificial que pueden ejecutarse con distintos modelos. Microsoft no identificó qué modelo de IA se empleó en los ataques. La misma herramienta, según la descripción incluida en sus hallazgos, también puede servir a equipos defensivos para poner a prueba sus propios sistemas, una dualidad que impide asumir que su uso sea exclusivamente malicioso.

Microsoft dijo que los agentes escanearon redes, trataron de adivinar contraseñas y explotaron permisos de aplicaciones con una participación humana limitada. Esa combinación automatiza tareas repetitivas y permite probar numerosos accesos en poco tiempo, aunque la fuente no afirma que la IA decidiera por sí sola todos los pasos de la operación. Los investigadores resumieron el desafío al escribir que «los agentes no están limitados por los factores que afectan a los humanos», una observación sobre la velocidad y persistencia posibles en este tipo de actividad.

La escala reportada fue considerable: Storm-0940 intentó iniciar sesión en más de 2.250 inquilinos de Microsoft 365 y llegó a registrar actividad de hasta 2.900 intentos por minuto. Microsoft señaló que el grupo obtuvo acceso de alto nivel en la nube en algunos casos en un plazo de tres horas, aunque la mayoría de los intentos fallaron. La cifra de intentos, por tanto, no equivale a miles de intrusiones confirmadas, pero sí ilustra la presión que una campaña automatizada puede ejercer sobre organizaciones conectadas.

Los datos de Huntress ofrecen otra medición del alcance observado en los sistemas que monitorea. Para el 16 de octubre, la firma había confirmado vulneraciones en 162 inquilinos; posteriormente identificó casi 1.000 que habían recibido intentos de inicio de sesión y más de 300 con intentos exitosos. Esas cifras describen etapas y conjuntos distintos del seguimiento, por lo que no deben sumarse como si fueran cuentas únicas adicionales ni confundirse con una confirmación de que todos los accesos exitosos derivaron en el mismo nivel de control.

Respuesta de ConnectWise y recomendaciones a clientes

ConnectWise desactivó siete identidades de aplicación el 17 de octubre y desconectó Cloud Backup, una medida que interrumpió temporalmente la disponibilidad del servicio mientras avanzaba la investigación. La compañía comenzó a restaurarlo por etapas el 21 de octubre y anticipó que la recuperación tomaría varios días. Sin embargo, una actualización reseñada por Kaseya señaló que el servicio seguía sin estar disponible y que los respaldos programados no se estaban ejecutando. Por ello, el inicio de una restauración gradual no equivale a que Cloud Backup ya estuviera plenamente operativo.

ConnectWise no había respondido públicamente a la atribución de Microsoft a Storm-0940 en el material citado. Un portavoz de la empresa dijo a The Record que no había «ningún indicio» de que los datos de respaldo hubieran sido comprometidos. Esa declaración se refiere a la información respaldada y no elimina el hecho de que Microsoft reportó acceso a cuentas de clientes mediante identidades vinculadas al servicio; ambas afirmaciones describen aspectos diferentes del incidente.

Microsoft sostuvo que el ataque no se originó en una vulnerabilidad de sus propios sistemas. En cambio, recomendó a los clientes mantener deshabilitadas las integraciones con ConnectWise hasta que la empresa confirme que pueden restaurarse de forma segura, y revisar registros de inicio de sesión que se remonten al menos al 15 de octubre. La recomendación apunta a reducir la exposición mientras se aclara el estado de las conexiones y a buscar actividad sospechosa en un periodo que precede a los avisos públicos.

Para las organizaciones que dependen de plataformas de respaldo, el episodio subraya que una integración autorizada puede tener un alcance considerable dentro de las cuentas que administra. El servicio necesita permisos para cumplir su función, pero ese mismo acceso convierte la gestión de identidades de aplicación, claves de autenticación y roles administrativos en una parte central de la respuesta ante incidentes. En este caso, Microsoft aconsejó no reactivar la conexión por cuenta propia antes de recibir confirmación de ConnectWise.

Qué revela el incidente sobre la automatización del ciberataque

El caso también muestra por qué la adopción de agentes de IA en seguridad genera preguntas que van más allá del modelo específico utilizado. ARTEX puede ejecutar tareas de análisis y pruebas, pero, según Microsoft, en esta operación sirvió para automatizar escaneos, intentos de adivinar contraseñas y acciones sobre permisos. La herramienta no elimina la intervención humana ni permite atribuir cada decisión a un sistema autónomo; sí puede aumentar la velocidad con que se repiten acciones contra múltiples objetivos.

La diferencia entre el volumen de intentos y los accesos confirmados es crucial para interpretar el impacto. Microsoft dijo que la mayoría de los intentos de Storm-0940 fallaron, mientras que Huntress reportó más de 300 inquilinos con intentos exitosos en su seguimiento posterior. La información disponible no especifica cuántos de esos casos terminaron con cambios de administrador o claves nuevas, ni cuánto tiempo persistió cada acceso, de modo que esas preguntas siguen abiertas en los datos divulgados.

La recomendación de Microsoft de revisar registros desde el 15 de octubre aporta una referencia temporal concreta para las tareas de investigación de los clientes. Revisar esos registros puede ayudar a identificar inicios de sesión inusuales y cambios en las cuentas, pero la fuente no describe una lista completa de indicadores técnicos ni un procedimiento universal de limpieza. Cada cliente debe seguir las instrucciones de sus proveedores y evitar tratar la restauración gradual del servicio como una confirmación automática de que todas las conexiones ya son seguras.

Por ahora, ConnectWise esperaba que la recuperación de Cloud Backup requiriera varios días y Microsoft pidió mantener las integraciones apagadas hasta recibir una confirmación de seguridad. La atribución de la campaña, las cifras de intentos y la descripción del uso de ARTEX provienen de los hallazgos de Microsoft, mientras que Huntress aportó datos de su monitoreo de clientes. El alcance de la exposición y el estado de cada cuenta dependen de las investigaciones individuales, por lo que no corresponde equiparar la actividad detectada con una pérdida confirmada de datos.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados