China-Linked Hackers Use ARTEX AI Agents in ConnectWise Supply Chain Attack
The Hacker News · 22 oct, 06:21
Microsoft reveló que el grupo China-alineado Storm-0940 estuvo detrás del compromiso de la cadena de suministro de ConnectWise Cloud Backup, utilizando ARTEX, un framework de agentes IA de pruebas de penetración en Go, para automatizar escaneo, reconocimiento, password spraying y abuso de OAuth a velocidad de máquina contra cientos de organizaciones en septores como defensa, financiero, energía y tecnología desde septiembre de 2026. Los agentes IA lograron acceso privilegiado a infraestructuras cloud en menos de 3 horas en varios casos, con intentos de autenticación a 2.900 por minuto contra 327 cuentas en ocho organizaciones entre octubre 10 y 14.
Storm-0940 es un actor estatal alineado con China activo desde al menos 2021. El grupo aprovechó el compromiso de ConnectWise para obtener credenciales de aplicaciones cloud y usarlas para autenticarse en entornos cliente, ganando acceso a Microsoft 365 y Exchange Online. Los agentes IA ejecutaron operaciones de reconocimiento, cambios de credenciales de aplicaciones para persistencia y modificaciones de identidades, grupos y roles privilegiados que podrían actuar como puertas traseras incluso después de mediar la aplicación comprometida.
Entre octubre 10 y 14 de 2026, la infraestructura de Storm-0940 en 144.172.64.99 realizó una campaña automatizada de password spray contra 327 cuentas, capturando más de 151.000 eventos de logon fallido, con un pico de 2.900 fallos por minuto el 11 de octubre generando más de 111.000 fallos en un día. El 15 de octubre, los agentes IA obtuvieron acceso a identidades de múltiples aplicaciones cloud de ConnectWise y comenzaron a usarlas para autenticarse en entornos cliente. Microsoft observó que amenazadores de múltiples regiones geográficas están integrando herramientas IA agentic en sus flujos de trabajo ofensivo.
Puntos clave
- Storm-0940 utilizó ARTEX para automatizar ataques contra cientos de organizaciones desde septiembre 2026
- Acceso privilegiado logrado en menos de 3 horas en múltiples casos
- Campaña de password spray: 2.900 intentos por minuto contra 327 cuentas en ocho organizaciones
- 151.000 eventos de logon fallido capturados entre octubre 10 y 14; 48 cuentas recibieron más de 1.000 fallos
- Modificaciones de credenciales de aplicaciones para persistencia como puertas traseras
Figuras de la fuente
