Attacco ConnectWise: Microsoft indica Storm-0940 e ARTEX

L’accesso abusivo ai tenant Microsoft 365 tramite le applicazioni cloud di ConnectWise, di cui ARX News ha scritto il 17 ottobre, ha ora un nome. Secondo l’analisi di Microsoft, pubblicata il 22 ottobre e ripresa da SecurityWeek e Insicurezza Digitale, dietro l’attività c’è Storm-0940, che ha automatizzato gran parte dell’operazione con ARTEX, il framework open source di penetration testing basato su agenti IA. Le fonti aggiungono numeri, una fase precedente di password spraying e nuove indicazioni su cosa controllare nei tenant.

Chi è Storm-0940

Secondo SecurityWeek, che riprende Microsoft, Storm-0940 è un attore legato alla Cina, attivo almeno dal 2021 e noto per il password spraying e lo sfruttamento di applicazioni esposte su internet, contro organizzazioni di molti settori. Insicurezza Digitale è più prudente: ricorda che le sigle «Storm-» indicano cluster di attività non ancora attribuiti con certezza a un gruppo noto e scrive che le fonti pubbliche non riportano un’attribuzione statale esplicita.

Sempre secondo SecurityWeek, Storm-0940 usa ARTEX per automatizzare i propri attacchi dall’inizio di settembre 2026, contro centinaia di organizzazioni dei settori aerospazio, automotive, chimica, difesa, energia, servizi finanziari, pubblica amministrazione, studi legali, manifattura, media, militare, semiconduttori, software e tecnologia, oltre a enti non profit e think tank. Le analisi precedenti di CrowdStrike, Zscaler e Recorded Future avevano collegato questa attività agli attacchi contro istituti finanziari sudcoreani, raccontati da ARX News l’8 ottobre; allora CrowdStrike non la attribuiva a un gruppo noto. Questa settimana Zscaler ha pubblicato un’analisi tecnica su come l’attore usa ARTEX: configurazioni, script di sincronizzazione, una cronologia di prompt di Claude Code e strumenti di instradamento della rete.

La catena d’attacco secondo Microsoft

• Password spraying a velocità di macchina: con ARTEX l’attore ha accelerato ricognizione, password spraying e abuso di applicazioni OAuth. Insicurezza Digitale colloca questa fase tra il 10 e il 14 ottobre: 327 account in otto organizzazioni, picchi di circa 2.900 tentativi al minuto e oltre 151.000 accessi falliti registrati da Microsoft. Da sola, questa fase non è andata a buon fine.
• Accesso con le identità delle app: Microsoft ha però osservato autenticazioni riuscite negli ambienti dei clienti con le identità di più applicazioni cloud di ConnectWise. Dopo l’accesso non autorizzato, secondo Microsoft, Storm-0940 ha usato ARTEX per tentare l’accesso a oltre 2.250 tenant. L’abuso di applicazioni OAuth fa parte da tempo del suo repertorio; la novità, scrive Microsoft, è averlo portato «a velocità di macchina».
• Operazioni nella directory: in alcuni ambienti gli agenti IA, per conto dell’attore, sono andati oltre l’autenticazione, con operazioni su Microsoft Graph e sulla directory: ricognizione, modifiche alle credenziali delle applicazioni per garantirsi la persistenza, modifiche a identità, gruppi e ruoli privilegiati.
• Persistenza oltre la bonifica: cambiando le credenziali delle applicazioni, avverte Microsoft, l’attaccante mantiene l’accesso anche dopo che l’applicazione colpita è stata messa in sicurezza.

Secondo Insicurezza Digitale, in alcuni episodi dalla scelta del bersaglio all’accesso privilegiato sono passate meno di tre ore. La stessa testata riporta che Microsoft non ha trovato prove dirette di lettura o esfiltrazione di posta e file, ma che alcune letture fatte tramite le app non compaiono nei log standard, e che l’infrastruttura di Microsoft non risulta compromessa. Il vettore con cui è stata ottenuta la credenziale resta sotto indagine.

Insicurezza Digitale riporta anche l’avvio del ripristino graduale dei servizi ConnectWise dal 21 ottobre; il dato non compare nelle altre fonti.

Nella nostra lettura le tecniche MITRE ATT&CK pertinenti sono T1110.003 (Password Spraying), T1199 (Trusted Relationship), T1087.004 (Cloud Account Discovery), T1098.001 (Additional Cloud Credentials) e T1098.003 (Additional Cloud Roles). Le fonti non pubblicano nuovi indicatori rispetto a quelli già noti.

Una campagna distinta: il token spraying descritto da Huntress

Lo stesso giorno Help Net Security e Infosecurity Magazine hanno riportato un’altra analisi di Huntress, non collegata dalle fonti a Storm-0940. Tra il 14 luglio e il 22 settembre 2026 un attaccante ha riusato in massa token di sessione Microsoft 365 rubati con pagine AiTM, phishing con codice dispositivo e ingegneria sociale: 497 accessi riusciti in 79 organizzazioni e oltre 200.000 tentativi falliti, da sei indirizzi della rete 193.26.115.0/24 di un hosting di Amburgo. Per restare dentro ha registrato almeno 48 computer falsi in Entra ID, con nomi «DESKTOP-» seguiti da otto caratteri esadecimali, ha sostituito i metodi MFA delle vittime in 19 organizzazioni e ha creato regole di posta con nomi come «.», «sss» e «iT» per nascondere messaggi, anche in un tentativo di frode sugli stipendi. Le policy di Conditional Access hanno bloccato 1.052 accessi in quattro organizzazioni.

Impatto per le aziende europee e italiane

Energia, chimica, manifattura, pubblica amministrazione, servizi finanziari e digitali sono settori NIS2, e molti sono nell’elenco dei bersagli di Storm-0940. Il punto tecnico è il ritmo: un attore che automatizza spraying, ricognizione e modifiche alla directory lascia ai difensori ore, non giorni. Chi ha già fatto le verifiche indicate dopo il primo avviso deve tornare sui log con le informazioni nuove: una fase precedente, operazioni anche su gruppi e identità e persistenza che sopravvive alla disattivazione delle app ConnectWise.

Cosa fare subito

1. Allarga la finestra di ricerca almeno al 10 ottobre e cerca raffiche di accessi falliti da reti di hosting contro molti account.
2. Correla gli accessi dei service principal con l’attività Graph che segue, le modifiche alla directory e gli accessi alle risorse, confrontandoli con le attività amministrative autorizzate, come raccomanda Microsoft.
3. Controlla gruppi e identità, non solo i ruoli: membri aggiunti a gruppi privilegiati, nuovi utenti, modifiche a utenti esistenti.
4. Non considerare chiusa la bonifica con la disattivazione delle app ConnectWise: verifica credenziali e certificati di tutte le applicazioni del tenant.
5. Prima di riattivare i servizi ConnectWise, segui le istruzioni del fornitore e verifica quali identità applicative tornano attive.
6. Contro il token spraying: Conditional Access con MFA, o blocco, per tutti gli utenti, tutte le app cloud e tutti i tipi di client; controllo dei dispositivi registrati in Entra ID, dei metodi MFA e delle regole di posta; in caso di sospetto, revoca delle sessioni e reset della password.

Come aiuta ARXDOME

ARX Horizon arricchisce gli eventi con le liste di minacce, compresi gli indirizzi già pubblicati per questa campagna, e ARX Sentry porta nelle pagine del SOC i log dei firewall dove cercarli. Le verifiche nel tenant Microsoft 365 restano da fare nel centro di amministrazione di Entra ID.

Ultimo aggiornamento: 23 ottobre 2026