Grupo identificado pela Microsoft como Storm-0940 utilizou ferramentas de inteligência artificial para comprometer serviços em nuvem e ampliar uma campanha contra organizações de diferentes setores.
Uma campanha internacional de ataques cibernéticos com IA comprometeu serviços da ConnectWise, fornecedora de soluções de gerenciamento de tecnologia, e colocou centenas de organizações na mira de invasores associados à China. A operação foi identificada pela Microsoft, que apontou o uso de ferramentas automatizadas para acelerar tentativas de acesso indevido a ambientes corporativos e estabelecer permissões privilegiadas em infraestruturas de nuvem.
Segundo informações divulgadas pela Reuters, em 21 de outubro, os responsáveis pela ofensiva foram identificados pela Microsoft como integrantes do grupo Storm-0940, associado a interesses do Estado chinês. A campanha atingiu organizações de diferentes setores, incluindo defesa, energia, indústria automobilística, serviços financeiros, tecnologia e administração pública, ampliando as preocupações sobre a exposição de ambientes empresariais conectados.
Embora a maior parte das tentativas não tenha resultado em invasões bem-sucedidas, a Microsoft identificou casos nos quais os criminosos conseguiram estabelecer acessos privilegiados e mecanismos de persistência em ambientes de nuvem. A descoberta evidencia como a utilização de inteligência artificial em ataques hackers pode acelerar operações maliciosas e ampliar os desafios enfrentados pelas equipes de segurança.
Como hackers utilizaram inteligência artificial para atacar a ConnectWise
De acordo com a investigação conduzida pela Microsoft, o Storm-0940 utilizou o ARTEX, uma ferramenta de código aberto desenvolvida para automatizar atividades de testes de invasão com apoio de modelos de inteligência artificial. A tecnologia permite executar diferentes etapas de avaliações de segurança, incluindo reconhecimento de sistemas, identificação de possíveis pontos de entrada e tarefas relacionadas à exploração de ambientes digitais.
Na campanha identificada, os invasores empregaram esses recursos para ampliar a velocidade e a abrangência das operações. A automação possibilitou realizar tentativas de autenticação em grande escala, reduzindo o intervalo entre a seleção de um alvo e a busca por acessos privilegiados.
A Microsoft identificou mais de 2.250 ambientes de clientes do Microsoft 365 como alvos de tentativas de autenticação, com picos de aproximadamente 2.900 tentativas por minuto. Em determinados casos, os criminosos conseguiram avançar da identificação inicial do ambiente até a obtenção de privilégios elevados em menos de três horas.
A investigação demonstra como os ataques cibernéticos com IA estão transformando a atuação de grupos criminosos, permitindo automatizar tentativas de invasão e ampliar o alcance das operações contra infraestruturas corporativas. Atividades que anteriormente exigiam diversas etapas manuais podem ser aceleradas por agentes autônomos, aumentando a pressão sobre os sistemas de monitoramento e resposta a incidentes.
Comprometimento da ConnectWise amplia riscos para serviços em nuvem
O incidente envolveu o ConnectWise Cloud Backup, solução utilizada para proteção e gerenciamento de dados empresariais. Em comunicado publicado em seu centro oficial de segurança, a companhia informou ter identificado acessos não autorizados relacionados a identidades de aplicações associadas ao serviço.
Como medida preventiva, a ConnectWise interrompeu conexões afetadas e suspendeu temporariamente operações de produtos integrados, incluindo SaaS Security e Cloud Management. A empresa também reforçou mecanismos de proteção administrativa, contratou especialistas independentes e iniciou procedimentos de investigação para avaliar a extensão do comprometimento.
Segundo a companhia, os arquivos de backup existentes permaneceram criptografados e isolados, sem evidências de que esses repositórios tenham sido acessados indevidamente. Entretanto, a preservação dos arquivos armazenados não significa que os ambientes ativos dos clientes estejam necessariamente livres de comprometimento.
O episódio evidencia que os ataques cibernéticos com IA representam uma preocupação crescente para empresas que dependem de aplicações integradas, serviços terceirizados e ambientes corporativos em nuvem. A utilização de credenciais comprometidas pode permitir alterações em sistemas empresariais, mesmo quando os dados armazenados em repositórios de backup permanecem protegidos.
Ataques cibernéticos com IA ampliam riscos na cadeia de fornecedores
Um dos principais aspectos do caso é o comprometimento de uma empresa responsável por fornecer serviços tecnológicos a outras organizações. Esse tipo de ocorrência representa uma ameaça à segurança da cadeia de suprimentos de software, pois conexões previamente autorizadas podem ser exploradas para alcançar diferentes clientes.
A investigação aponta que os invasores utilizaram credenciais e permissões associadas a aplicações corporativas integradas. Dessa maneira, a operação não dependia exclusivamente de ataques diretos aos sistemas de cada organização, mas também do aproveitamento de relações de confiança entre plataformas tecnológicas.
Para CIOs, CISOs e gestores de infraestrutura, o episódio reforça a necessidade de avaliar não apenas os controles internos, mas também os privilégios concedidos a fornecedores externos. A gestão de identidades, o monitoramento de aplicações conectadas e a revisão periódica de permissões passam a integrar a estratégia de proteção dos ambientes digitais.
A expansão dos ataques cibernéticos com IA também exige maior controle sobre parceiros tecnológicos, especialmente aqueles que possuem permissões administrativas e acesso a sistemas empresariais. A adoção de políticas de privilégio mínimo contribui para limitar as consequências de eventuais comprometimentos de credenciais ou integrações entre serviços.
Microsoft alerta para persistência de acessos privilegiados
Outro ponto identificado pela Microsoft envolve a capacidade dos invasores de manter acesso a ambientes corporativos mesmo depois da aplicação de determinadas medidas de contenção. Segundo a empresa, o Storm-0940 conseguiu estabelecer mecanismos de persistência em nuvem em diferentes organizações.
Essa característica representa um desafio adicional para equipes responsáveis pela resposta a incidentes. A simples interrupção de uma conexão comprometida pode não eliminar contas, credenciais ou permissões adicionadas anteriormente pelos criminosos.
A ConnectWise reconheceu essa possibilidade e ressaltou que a contenção das conexões afetadas não remove automaticamente eventuais acessos indevidos já estabelecidos nos ambientes individuais de seus clientes. Por esse motivo, a empresa recomendou avaliações específicas das configurações de segurança e dos registros de autenticação.
Nesse contexto, a evolução dos ataques cibernéticos com IA exige uma abordagem que combine prevenção, detecção contínua e capacidade de resposta, especialmente em organizações que dependem de múltiplos fornecedores de tecnologia. A revisão periódica de privilégios administrativos e a análise de comportamentos suspeitos são medidas importantes para reduzir a exposição a ameaças automatizadas.
China nega regularmente envolvimento em espionagem digital
A atribuição da campanha ao Storm-0940 foi apresentada pela Microsoft com base em suas análises de segurança. A ConnectWise também informou que as evidências disponíveis, incluindo informações compartilhadas pela empresa de tecnologia, apontavam para um grupo alinhado ao Estado chinês.
A China nega regularmente promover ou tolerar atividades de espionagem e roubo de informações por meios digitais. Na reportagem publicada em 21 de outubro, a Reuters informou que a Embaixada chinesa em Washington não havia respondido imediatamente ao pedido de comentário sobre o episódio.
A situação evidencia a complexidade das investigações envolvendo grupos associados a governos estrangeiros, principalmente quando as operações atingem empresas privadas, fornecedores de infraestrutura e organizações de setores estratégicos.
Inteligência artificial amplia desafios para a cibersegurança empresarial
O comprometimento da ConnectWise demonstra como ferramentas desenvolvidas para avaliações legítimas de segurança podem ser utilizadas em campanhas ofensivas de grande escala. A combinação entre automação, exploração de identidades e acessos privilegiados amplia a complexidade das investigações e dos processos de recuperação.
Para as organizações, o cenário exige maior atenção à governança de aplicações, à proteção de credenciais e ao acompanhamento das conexões mantidas com fornecedores tecnológicos. A adoção de mecanismos robustos de autenticação, políticas de privilégio mínimo e monitoramento contínuo contribui para reduzir a exposição a esse tipo de ameaça.
O episódio reforça uma tendência já observada em outras investigações sobre o uso de inteligência artificial por criminosos digitais. Em um caso recente envolvendo a utilização de agentes de IA para invadir mais de 100 empresas, a automação demonstrou seu potencial para ampliar a escala das operações maliciosas, reduzir custos e acelerar tentativas de comprometimento de sistemas corporativos. Esse cenário evidencia uma transformação no perfil das ameaças, exigindo estratégias de proteção capazes de acompanhar a velocidade dos ataques automatizados.
O caso da ConnectWise demonstra que os ataques cibernéticos com IA já integram operações reais contra organizações de diferentes setores. Mais do que impedir invasões isoladas, o desafio passa a envolver a identificação de atividades automatizadas, a avaliação de riscos compartilhados e a preservação da confiança entre empresas e seus parceiros tecnológicos.
Assine a nossa News e siga o Itshow nas redes sociais para ficar por dentro de todas as notícias do setor de TI e Cibersegurança!