Microsoft documentó cómo el grupo chino aceleró ataques contra 2.250 tenants de M365 usando ARTEX, un framework de pentesting automatizado que opera sin pausas humanas.
Microsoft atribuyó formalmente el compromiso de ConnectWise Cloud Backup al grupo Storm-0940, alineado con el estado chino, y reveló que el actor utilizó ARTEX — un framework de pentesting impulsado por IA de código abierto — para atacar 2.250 tenants de Microsoft 365 a velocidad de máquina. En varios casos documentados, el tiempo transcurrido entre el targeting inicial y la obtención de acceso privilegiado a la infraestructura en la nube fue inferior a tres horas. El reporte técnico de Microsoft marca un punto de inflexión en la documentación pública de ataques coordinados por agentes de IA contra entornos corporativos en producción.
Del password spraying manual al acceso directo con credenciales robadas
Entre el 10 y el 14 de octubre, Storm-0940 lanzó un ataque de password spraying desde la dirección IP 144.172.64.99 contra 327 cuentas en ocho organizaciones. Microsoft registró más de 151.000 intentos de login fallidos, con un pico de 2.900 intentos fallidos por minuto el 11 de octubre. Cuarenta y ocho cuentas recibieron más de 1.000 intentos fallidos cada una. Ninguno de estos intentos tuvo éxito.
El 15 de octubre — un día después de que la brecha de ConnectWise se hiciera pública — Storm-0940 cambió de táctica. Los agentes de IA dejaron de probar contraseñas y pasaron a utilizar credenciales robadas de ConnectWise para acceder directamente a entornos Microsoft 365. Las aplicaciones comprometidas ya tenían permisos otorgados previamente, lo que permitió al actor operar sin requerir un inicio de sesión interactivo de usuarios. Esta transición eliminó la fricción del ataque: donde antes había iteración manual con tasa de fallo del cien por ciento, ahora había acceso directo con credenciales válidas.
Reconocimiento y persistencia a través de Microsoft Graph en minutos
En un subconjunto de entornos donde la autenticación tuvo éxito, los agentes de IA no se detuvieron en el acceso inicial. Utilizaron Microsoft Graph para realizar reconocimiento de directorios, modificar credenciales de aplicaciones y intentar cambios en identidades, grupos y roles privilegiados. Microsoft identificó múltiples entornos de clientes con evidencia de esta actividad de seguimiento.
El mecanismo de persistencia es el punto crítico que los defensores necesitan abordar ahora, incluso si ya deshabilitaron las conexiones de ConnectWise. Un atacante que agregó sus propias credenciales a una aplicación de confianza antes de que se revocara el acceso todavía tiene una llave funcional. Microsoft recomienda revisar todas las adiciones de credenciales de service principal desde al menos el 1 de octubre — no desde el 15, cuando se anunció públicamente la brecha — porque los cambios pueden permanecer activos como puerta trasera incluso después de que la aplicación comprometida original haya sido remediada.
ARTEX como infraestructura compartida entre grupos de habla china
ARTEX no es una herramienta exclusiva de Storm-0940. Microsoft indicó que actores de amenaza en varias regiones han utilizado el mismo framework. Escrito en Go, ARTEX puede utilizar diferentes modelos de IA — como DeepSeek, GLM y Grok — como agentes coordinados para planificar y ejecutar tareas. Investigadores de Zscaler y Recorded Future identificaron un grupo de habla china utilizando ARTEX para atacar instituciones financieras surcoreanas, con una configuración donde GLM verificaba el trabajo de DeepSeek.
Después de que estos ataques se hicieran públicos, el proyecto pasó a código cerrado. Sin embargo, cualquiera que ya tenga una copia puede seguir utilizándolo. La transición a código cerrado no revoca las instancias ya desplegadas ni elimina el conocimiento operativo de quienes ya lo integraron en sus flujos de trabajo ofensivos.
Por qué México y Brasil enfrentan exposición estructural al mismo patrón
Aunque Microsoft no reportó víctimas específicas en América Latina en este incidente, la dependencia regional de proveedores de servicios gestionados — muchos de ellos con arquitecturas multi-tenant similares a ConnectWise — crea exposición estructural al mismo patrón de ataque. En México, el sector financiero y energético opera con proveedores de backup en la nube que utilizan aplicaciones OAuth con permisos amplios en entornos Microsoft 365. En Brasil, la concentración de servicios gestionados en pocos proveedores regionales amplifica el riesgo de compromiso en cadena si uno de ellos es vulnerado.
La velocidad documentada por Microsoft — 2.900 intentos de inicio de sesión por minuto, compromiso en menos de tres horas — supera la capacidad de respuesta de la mayoría de los equipos de seguridad en la región, donde los tiempos de detección y contención todavía se miden en días o semanas. La brecha no está en la tecnología de defensa disponible, sino en la ventana temporal entre el acceso inicial y la persistencia establecida: cuando un agente de IA puede completar reconocimiento, modificación de credenciales y escalada de privilegios en el lapso de una reunión de equipo, los procesos de respuesta diseñados para ritmo humano quedan obsoletos.
Nuestro análisis
Storm-0940 ha estado activo desde 2021 y ha utilizado históricamente password spraying y abuso de aplicaciones OAuth. La integración de ARTEX no cambió su objetivo estratégico — sigue apuntando a sectores de defensa, energía, manufactura y gobierno — pero sí cambió la escala operativa. Donde antes un actor humano podía probar credenciales contra decenas de cuentas por hora, ahora un agente de IA puede intentar 2.900 por minuto. Donde antes el reconocimiento post-compromiso tomaba días, ahora toma minutos. La diferencia no es cualitativa — es cuantitativa, y esa cantidad cambia qué es defendible con procesos manuales.
El patrón que Microsoft documenta aquí — password spraying fallido seguido de pivote inmediato a credenciales robadas de proveedor comprometido — no es nuevo en concepto, pero sí en velocidad de ejecución. Lo que resulta más preocupante es que ARTEX, aunque ahora de código cerrado, ya circuló lo suficiente como para que múltiples grupos lo hayan integrado en sus flujos de trabajo. La pregunta no es si otros actores replicarán este patrón, sino cuánto tiempo pasará antes de que un proveedor de servicios gestionados con presencia en América Latina enfrente el mismo tipo de compromiso — y si los equipos de respuesta regionales podrán detectar y contener un ataque que se completa en el tiempo que toma almorzar.