Microsoft relaciona Storm-0940 con el ataque a la cadena de suministro de ConnectWise

Un grupo de ata­can­tes vin­cu­la­dos a China, al que Mi­cro­soft de­no­mi­na Storm-0940, llevó a cabo un ata­que a la ca­de­na de su­mi­nis­tro uti­li­zan­do cre­den­cia­les de apli­ca­cio­nes com­pro­me­ti­das vin­cu­la­das al ser­vi­cio de res­pal­do en la nube de Con­nect­Wi­se. Estas ac­cio­nes afec­ta­ron los en­tor­nos de nu­me­ro­sos clien­tes y per­mi­tie­ron a los agre­so­res ob­te­ner ac­ce­sos pri­vi­le­gia­dos en la in­fra­es­truc­tu­ra en la nube de di­ver­sas or­ga­ni­za­cio­nes en un lapso muy corto tras el ini­cio de la cam­pa­ña.

Para im­pul­sar y au­to­ma­ti­zar sus ope­ra­cio­nes ofen­si­vas, el grupo em­pleó un marco de prue­bas de pe­ne­tra­ción ba­sa­do en in­te­li­gen­cia ar­ti­fi­cial co­no­ci­do como ARTEX. Esta he­rra­mien­ta per­mi­tió ace­le­rar el re­co­no­ci­mien­to, las ac­cio­nes de ex­plo­ra­ción, el abuso de apli­ca­cio­nes OAuth y los in­ten­tos ma­si­vos de ini­cio de se­sión di­ri­gi­dos a miles de in­qui­li­nos a un ritmo ele­va­do, di­fi­cul­tan­do la ca­pa­ci­dad de res­pues­ta de los de­fen­so­res.

Como res­pues­ta al in­ci­den­te, la em­pre­sa pro­vee­do­ra de soft­wa­re sus­pen­dió tem­po­ral­men­te el ser­vi­cio afec­ta­do y otras he­rra­mien­tas re­la­cio­na­das mien­tras con­ti­nua­ban las la­bo­res de in­ves­ti­ga­ción y res­tau­ra­ción. Por su parte, los es­pe­cia­lis­tas en se­gu­ri­dad re­co­men­da­ron a los afec­ta­dos man­te­ner las co­ne­xio­nes des­co­nec­ta­das hasta ve­ri­fi­car la se­gu­ri­dad de sus en­tor­nos, re­vi­sar po­si­bles mo­di­fi­ca­cio­nes no au­to­ri­za­das en las cre­den­cia­les y con­ser­var los re­gis­tros fo­ren­ses ne­ce­sa­rios antes de res­ta­ble­cer los ser­vi­cios.