Secondo quanto riportato da Microsoft, un gruppo di hacker collegato alla Cina è stato in grado di compromettere le credenziali delle applicazioni di ConnectWise, permettendo così l’accesso a oltre 2.250 tenant di Microsoft 365. Gli attaccanti, identificati come Storm-0940, hanno utilizzato un tool open source di penetration testing chiamato ARTEX per automatizzare gli attacchi contro gli ambienti di Microsoft 365. In alcuni casi, sono riusciti a passare dal momento della selezione del bersaglio all’accesso privilegiato nel cloud in meno di tre ore.
Questa scoperta mette in luce il recente incidente di sicurezza di ConnectWise, in cui l’azienda ha dovuto sospendere i suoi servizi di Cloud Backup, Sicurezza SaaS e Cloud Management a seguito della scoperta di accessi non autorizzati a identità delle applicazioni. Inizialmente, ConnectWise non era riuscita ad identificare i responsabili, ma ora Microsoft ha indicato Storm-0940 come gli autori dell’attacco, un gruppo di spionaggio attivo dal 2021.
Tradizionalmente, Storm-0940 si è basato su tecniche comuni, come il “password spraying” e l’approfittare delle applicazioni esposte su Internet. Tuttavia, per questa operazione hanno utilizzato l’intelligenza artificiale per automatizzare diverse fasi del processo di attacco. ARTEX, un framework di penetration testing scritto in Go, sfrutta agenti AI per svolgere attività come la ricognizione, la scoperta di vulnerabilità e il furto di credenziali.
Dal 10 al 14 ottobre, gli hacker hanno effettuato oltre 151.000 tentativi di accesso non riusciti contro 327 account in otto organizzazioni. Sebbene Microsoft non abbia registrato accessi riusciti da parte degli attaccanti durante questa campagna di password spraying, i criminali informatici hanno successivamente attaccato utilizzando credenziali di applicazioni ConnectWise compromesse.
Queste credenziali hanno permesso agli attaccanti di sfruttare i permessi già concessi dai clienti ai servizi ConnectWise, senza la necessità di un accesso interattivo da parte di un utente. Utilizzando ARTEX, Storm-0940 ha tentato di autenticarsi contro oltre 2.250 tenant di Microsoft 365, registrando fino a 2.900 tentativi al minuto. Microsoft ha anche osservato attività accelerata da parte dell’intelligenza artificiale tramite Microsoft Graph, inclusi tentativi di modifica delle credenziali delle applicazioni e delle autorizzazioni, il che suggerisce che gli attaccanti potessero mantenere un accesso persistente anche dopo la revoca delle credenziali originali.
Nonostante la maggior parte dei tentativi sia risultata infruttuosa, Microsoft ha dichiarato che gli hacker sono comunque riusciti a stabilire accessi privilegiati persistenti presso numerose organizzazioni. La compagnia non ha rivelato il numero esatto di clienti compromessi né se siano stati rubati dati sensibili, sottolineando che un accesso riuscito non implica necessariamente un accesso a informazioni riservate.
Il CEO di ConnectWise, Manny Rivelo, ha affermato che la società ha contenuto le connessioni delle applicazioni colpite e sta gradualmente ripristinando i servizi. Tuttavia, disattivare queste connessioni non garantisce l’eliminazione degli attaccanti già presenti negli ambienti dei clienti.
ConnectWise non è nuova a simili situazioni; nel maggio 2025, aveva già ammesso un’intrusione operata da un “attore statale sofisticato”, che aveva compromesso un numero limitato di clienti attraverso il suo software di accesso remoto ScreenConnect. Attualmente non ci sono indicazioni che suggeriscano un collegamento tra i due eventi.
Va inoltre sottolineato che Storm-0940 non è l’unico gruppo a far uso di ARTEX. Microsoft ha segnalato che diversi attaccanti provenienti da varie regioni globally stanno utilizzando questo framework, che è liberamente disponibile per scopi di penetration testing.
Le tecniche sottostanti agli attacchi non sono nuove — credenziali rubate, password spraying e abuso delle applicazioni — ma Microsoft evidenzia come l’intelligenza artificiale abbia consentito a Storm-0940 di eseguire questi strategie più rapidamente, con alcuni attacchi che hanno portato a un accesso privilegiato nel cloud in meno di tre ore.
