Investigaciones de seguridad recientes revelaron que el grupo de ciberamenaza vinculado a China conocido como Storm-0940 ha utilizado un marco de pruebas de penetración respaldado por inteligencia artificial agéntica llamado ARTEX para ejecutar ataques a gran escala contra cientos de organizaciones en todo el mundo en diversos sectores industriales. En varios casos, estos ataques automatizados dieron lugar a que el actor malintencionado obtuviera privilegios de acceso elevado a la infraestructura en la nube de las víctimas, donde el tiempo transcurrido desde la fase de reconocimiento inicial hasta la obtención de privilegios de acceso elevado no superó las tres horas en algunas situaciones.
Los datos técnicos indicaron que la actividad maliciosa estuvo directamente relacionada con el incidente de vulneración de la cadena de suministro de aplicaciones multiinquilino de ConnectWise, anunciado recientemente. Estos acontecimientos muestran cómo los grupos de amenaza han comenzado a integrar sistemas de inteligencia artificial agéntica en los flujos de trabajo de seguridad ofensiva tradicionales para ampliar enormemente sus operaciones, superando las limitaciones humanas mediante el funcionamiento continuo las 24 horas y el intento de vulnerar múltiples rutas simultáneamente.
Mecanismo de ataque y velocidad de ejecución a través del marco ARTEX
El marco ARTEX se considera un sistema multiagente basado en grandes modelos de lenguaje (LLM), escrito en Go y con una interfaz de usuario basada en Next.js, que puede realizar una prueba de penetración totalmente autónoma desde la fase de reconocimiento hasta la exfiltración de datos con escasa intervención humana. En el incidente de ConnectWise, el grupo Storm-0940 aprovechó este marco para acelerar las operaciones de escaneo y reconocimiento, la pulverización de contraseñas y la enumeración de aplicaciones a través de la interfaz de programación de aplicaciones OAuth.
- Ataques de pulverización de contraseñas: La infraestructura de los atacantes ejecutó una campaña automatizada que apuntó a 327 cuentas en 8 organizaciones para acceder a Microsoft 365 y Exchange Online, registrando miles de intentos fallidos de autenticación a tasas récord que alcanzaron los 2.900 fallos por minuto.
- Explotación de credenciales de aplicaciones: Tras tomar el control de múltiples identidades de aplicaciones en la nube pertenecientes a ConnectWise, los agentes de inteligencia artificial utilizaron los mismos rangos de direcciones de protocolo de internet (IP) para autenticarse en los entornos de los clientes sin requerir interacción humana.
- Actividades posteriores: Esto incluyó operaciones de reconocimiento a través de Microsoft Graph y modificaciones en las credenciales de las aplicaciones para garantizar la persistencia, así como cambios en roles y privilegios elevados.
¿Qué cambia prácticamente para las organizaciones?
Estos ataques representan un cambio cualitativo en la velocidad y la escala de las ciberamenazas; la dependencia de agentes automatizados reduce drásticamente el tiempo disponible para que los defensores detecten, respondan y contrarresten el ataque en comparación con los métodos manuales tradicionales. Aunque la mera presencia de la aplicación afectada o la ocurrencia de una autenticación no significa necesariamente la filtración de los datos del cliente, las modificaciones en las credenciales del servicio pueden dejar puertas traseras activas incluso después de que la aplicación original haya sido remediada.
Directrices de mitigación y protección técnica
Las autoridades de seguridad recomendaron tomar medidas inmediatas para contener los riesgos y asegurar las infraestructuras afectadas mediante las siguientes acciones:
- Mantener las conexiones de las aplicaciones de ConnectWise afectadas desactivadas hasta que el proveedor emita directrices oficiales de restauración.
- Abstenerse de eliminar las aplicaciones corporativas como respuesta inicial y centrarse en la conservación de los registros de configuración y la evidencia forense.
- Revisar las identidades de los administradores de servicio y los cuatro identificadores de aplicación asociados al incidente en cada inquilino de Microsoft 365.
- Inspeccionar los registros de auditoría de Microsoft Entra y los registros de Microsoft Purview en busca de adiciones no autorizadas de credenciales o privilegios de roles elevados.