Ataque a ConnectWise: Microsoft señala a Storm-0940 y ARTEX

El acceso indebido a los tenants de Microsoft 365 a través de las aplicaciones cloud de ConnectWise, del que ARX News informó el 17 de octubre, ya tiene nombre. Según el análisis de Microsoft, publicado el 22 de octubre y recogido por SecurityWeek e Insicurezza Digitale, detrás de la actividad está Storm-0940, que automatizó gran parte de la operación con ARTEX, el framework open source de penetration testing basado en agentes de IA. Las fuentes aportan cifras, una fase previa de password spraying y nuevas indicaciones sobre qué revisar en los tenants.

Quién es Storm-0940

Según SecurityWeek, que cita a Microsoft, Storm-0940 es un actor vinculado a China, activo al menos desde 2021 y conocido por el password spraying y la explotación de aplicaciones expuestas a internet, contra organizaciones de muchos sectores. Insicurezza Digitale es más prudente: recuerda que las siglas «Storm-» indican grupos de actividad aún no atribuidos con certeza a un grupo conocido y escribe que las fuentes públicas no recogen una atribución estatal explícita.

También según SecurityWeek, Storm-0940 usa ARTEX para automatizar sus ataques desde principios de septiembre de 2026, contra cientos de organizaciones de los sectores aeroespacial, automoción, química, defensa, energía, servicios financieros, administración pública, despachos de abogados, fabricación, medios, militar, semiconductores, software y tecnología, además de entidades sin ánimo de lucro y think tanks. Los análisis anteriores de CrowdStrike, Zscaler y Recorded Future habían vinculado esta actividad a los ataques contra entidades financieras surcoreanas, de los que ARX News habló el 8 de octubre; entonces CrowdStrike no la atribuía a un grupo conocido. Esta semana Zscaler ha publicado un análisis técnico de cómo el actor usa ARTEX: configuraciones, scripts de sincronización, un historial de prompts de Claude Code y herramientas de enrutamiento de red.

La cadena de ataque según Microsoft

• Password spraying a velocidad de máquina: con ARTEX el actor aceleró el reconocimiento, el password spraying y el abuso de aplicaciones OAuth. Insicurezza Digitale sitúa esta fase entre el 10 y el 14 de octubre: 327 cuentas en ocho organizaciones, picos de unos 2.900 intentos por minuto y más de 151.000 inicios de sesión fallidos registrados por Microsoft. Por sí sola, esta fase no tuvo éxito.
• Acceso con las identidades de las apps: Microsoft sí observó autenticaciones correctas en los entornos de los clientes con las identidades de varias aplicaciones cloud de ConnectWise. Tras el acceso no autorizado, según Microsoft, Storm-0940 usó ARTEX para intentar iniciar sesión en más de 2.250 tenants. El abuso de aplicaciones OAuth forma parte desde hace tiempo de su repertorio; la novedad, escribe Microsoft, es haberlo llevado «a velocidad de máquina».
• Operaciones en el directorio: en algunos entornos los agentes de IA, por cuenta del actor, fueron más allá de la autenticación, con operaciones en Microsoft Graph y en el directorio: reconocimiento, cambios en las credenciales de las aplicaciones para asegurarse la persistencia, cambios en identidades, grupos y roles privilegiados.
• Persistencia más allá de la remediación: al cambiar las credenciales de las aplicaciones, advierte Microsoft, el atacante mantiene el acceso incluso después de que la aplicación afectada se haya remediado.

Según Insicurezza Digitale, en algunos casos pasaron menos de tres horas entre la elección del objetivo y el acceso privilegiado. El mismo medio indica que Microsoft no encontró pruebas directas de lectura o exfiltración de correo y archivos, pero que algunas lecturas hechas a través de las apps no aparecen en los logs estándar, y que la infraestructura de Microsoft no está comprometida. Cómo se obtuvo la credencial sigue bajo investigación.

Insicurezza Digitale informa también de que ConnectWise empezó el restablecimiento gradual de sus servicios el 21 de octubre; el dato no aparece en las demás fuentes.

En nuestra lectura, las técnicas MITRE ATT&CK pertinentes son T1110.003 (Password Spraying), T1199 (Trusted Relationship), T1087.004 (Cloud Account Discovery), T1098.001 (Additional Cloud Credentials) y T1098.003 (Additional Cloud Roles). Las fuentes no publican indicadores nuevos respecto a los ya conocidos.

Una campaña distinta: el token spraying descrito por Huntress

El mismo día Help Net Security e Infosecurity Magazine recogieron otro análisis de Huntress, que las fuentes no vinculan con Storm-0940. Entre el 14 de julio y el 22 de septiembre de 2026 un atacante reutilizó de forma masiva tokens de sesión de Microsoft 365 robados con páginas AiTM, phishing con código de dispositivo e ingeniería social: 497 accesos correctos en 79 organizaciones y más de 200.000 intentos fallidos, desde seis direcciones del rango 193.26.115.0/24 de un hosting de Hamburgo. Para mantenerse dentro registró al menos 48 ordenadores falsos en Entra ID, con nombres «DESKTOP-» seguidos de ocho caracteres hexadecimales, sustituyó los métodos MFA de las víctimas en 19 organizaciones y creó reglas de correo con nombres como «.», «sss» e «iT» para ocultar mensajes, también en un intento de fraude con las nóminas. Las políticas de Conditional Access bloquearon 1.052 accesos en cuatro organizaciones.

Impacto para las empresas europeas e italianas

Energía, química, fabricación, administración pública, servicios financieros y digitales son sectores NIS2, y muchos figuran en la lista de objetivos de Storm-0940. La clave técnica es el ritmo: un actor que automatiza el spraying, el reconocimiento y los cambios en el directorio deja a los defensores horas, no días. Si ya hiciste las comprobaciones indicadas tras el primer aviso, vuelve a los logs con la información nueva: una fase anterior, operaciones también sobre grupos e identidades y una persistencia que sobrevive a la desactivación de las apps de ConnectWise.

Qué hacer ya

1. Amplía la ventana de búsqueda al menos hasta el 10 de octubre y busca ráfagas de inicios de sesión fallidos desde redes de hosting contra muchas cuentas.
2. Correlaciona los inicios de sesión de los service principals con la actividad de Graph posterior, los cambios en el directorio y los accesos a recursos, y compáralos con las actividades administrativas autorizadas, como recomienda Microsoft.
3. Revisa grupos e identidades, no solo los roles: miembros añadidos a grupos privilegiados, usuarios nuevos, cambios en usuarios existentes.
4. No des por cerrada la remediación al desactivar las apps de ConnectWise: revisa credenciales y certificados de todas las aplicaciones del tenant.
5. Antes de reactivar los servicios de ConnectWise, sigue las instrucciones del proveedor y comprueba qué identidades de aplicación vuelven a estar activas.
6. Contra el token spraying: Conditional Access con MFA, o bloqueo, para todos los usuarios, todas las apps cloud y todos los tipos de cliente; revisión de los dispositivos registrados en Entra ID, de los métodos MFA y de las reglas de correo; ante una sospecha, revocación de las sesiones y cambio de contraseña.

Cómo ayuda ARXDOME

ARX Horizon enriquece los eventos con las listas de amenazas, incluidas las direcciones ya publicadas para esta campaña, y ARX Sentry lleva a las páginas del SOC los logs de los firewalls donde buscarlas. Las comprobaciones en el tenant de Microsoft 365 siguen haciéndose en el centro de administración de Entra ID.

Última actualización: 23 de octubre de 2026