Microsoft atribuye el ataque a la cadena de suministro de ConnectWise a un grupo de amenazas vinculado al Estado chino

In­ves­ti­ga­do­res de se­gu­ri­dad vin­cu­la­ron un ata­que a la ca­de­na de su­mi­nis­tro di­ri­gi­do a los en­tor­nos Mi­cro­soft 365 de los clien­tes de Con­nect­Wi­se con un grupo de pi­ra­tas in­for­má­ti­cos res­pal­da­do por el es­ta­do de China, iden­ti­fi­ca­do por la em­pre­sa tec­no­ló­gi­ca como Storm-0940. Este grupo, ac­ti­vo desde hace va­rios años, ha lan­za­do ope­ra­cio­nes ofen­si­vas con­tra una gran va­rie­dad de sec­to­res in­dus­tria­les e ins­ti­tu­cio­nes a nivel glo­bal, uti­li­zan­do un marco de prue­bas de pe­ne­tra­ción de in­te­li­gen­cia ar­ti­fi­cial ba­sa­do en agen­tes para au­to­ma­ti­zar sus ac­cio­nes.

Antes de com­pro­me­ter el ser­vi­cio de res­pal­do en la nube de Con­nect­Wi­se, el grupo llevó a cabo una cam­pa­ña ma­si­va de in­ten­tos re­pe­ti­dos de adi­vi­na­ción de con­tra­se­ñas con­tra va­rias cuen­tas en or­ga­ni­za­cio­nes es­pe­cí­fi­cas, ge­ne­ran­do una enor­me can­ti­dad de fa­llos en el ini­cio de se­sión en pocos días. In­me­dia­ta­men­te des­pués, los ata­can­tes di­ri­gie­ron sus es­fuer­zos hacia Con­nect­Wi­se, apro­ve­chan­do la in­fra­es­truc­tu­ra ma­li­cio­sa y las he­rra­mien­tas au­to­ma­ti­za­das para vul­ne­rar las cuen­tas y en­tor­nos de Mi­cro­soft 365 de di­ver­sos clien­tes de res­pal­dos en la nube.

El uso de estas tec­no­lo­gías au­to­ma­ti­za­das per­mi­tió a los ata­can­tes ace­le­rar los es­ca­neos, eje­cu­tar ata­ques de cre­den­cia­les y ma­ni­pu­lar apli­ca­cio­nes en las víc­ti­mas se­cun­da­rias para lo­grar re­co­no­ci­mien­to, mo­di­fi­car cre­den­cia­les y es­ta­ble­cer per­sis­ten­cia me­dian­te cam­bios en iden­ti­da­des y roles pri­vi­le­gia­dos. Aun­que no se pre­ci­só el nú­me­ro exac­to de clien­tes afec­ta­dos ni si se sus­tra­jo in­for­ma­ción, Con­nect­Wi­se sus­pen­dió tem­po­ral­men­te sus ser­vi­cios y co­men­zó su res­tau­ra­ción gra­dual, ad­vir­tien­do que el pro­ce­so to­ma­ría va­rios días, mien­tras que di­rec­ti­vos de Mi­cro­soft se­ña­la­ron que este caso forma parte de una ola más am­plia de in­ci­den­tes ci­ber­né­ti­cos im­pul­sa­dos por in­te­li­gen­cia ar­ti­fi­cial.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre otros in­ci­den­tes es­pe­cí­fi­cos más allá de los men­cio­na­dos.