Pesquisas de segurança recentes revelaram que o grupo de ameaça cibernética associado à China, conhecido como Storm-0940, utilizou a estrutura de teste de penetração baseada em inteligência artificial de agentes, chamada ARTEX, para realizar ataques em larga escala que visaram centenas de organizações ao redor do mundo em diversos setores industriais. Esses ataques automatizados resultaram, em vários casos, na obtenção de privilégios de acesso à infraestrutura em nuvem das vítimas pelo agente malicioso, sendo que o tempo decorrido desde a fase de segmentação inicial até a obtenção de privilégios de acesso não ultrapassou três horas em alguns casos.
Os dados técnicos esclareceram que a atividade maliciosa esteve diretamente ligada ao incidente de comprometimento da cadeia de suprimentos de aplicativos multilocatários da ConnectWise, anunciado recentemente. Esses desenvolvimentos mostram como os grupos de ameaça começaram a integrar sistemas de inteligência artificial de agentes nos fluxos de trabalho de segurança ofensiva tradicionais para multiplicar suas operações significativamente, superando as limitações humanas ao operar continuamente 24 horas por dia e tentando comprometer múltiplos caminhos simultaneamente.
Mecanismo de ataque e velocidade de execução via estrutura ARTEX
A estrutura ARTEX é um sistema multiagente baseado em modelos de linguagem de grande escala, escrito na linguagem Go com uma interface de usuário baseada em Next.js, capaz de executar testes de penetração totalmente autônomos, desde a fase de reconhecimento até a extração de dados, sem intervenção humana significativa. No incidente da ConnectWise, o grupo Storm-0940 utilizou essa estrutura para acelerar as operações de varredura e reconhecimento, pulverização de senhas (password spraying) e extração de aplicativos via interface de programação de aplicativos OAuth.
- Ataques de pulverização de senhas: A infraestrutura dos atacantes executou uma campanha automatizada que visou 327 contas em 8 organizações para acessar o Microsoft 365 e o Exchange Online, registrando milhares de tentativas de autenticação fracassadas a taxas recordes que chegaram a 2.900 falhas por minuto.
- Exploração de credenciais de aplicativos: Após assumir o controle de identidades de aplicativos em nuvem pertencentes à ConnectWise, os agentes de inteligência artificial utilizaram o mesmo intervalo de endereços de protocolo de internet para autenticar em ambientes de clientes sem a necessidade de interação humana.
- Atividades subsequentes: Isso incluiu operações de reconhecimento via Microsoft Graph e modificações nas credenciais de aplicativos para garantir a persistência e alterar funções e privilégios.
O que muda na prática para as organizações?
Esses ataques representam uma mudança qualitativa na velocidade e no volume das ameaças cibernéticas; a dependência de agentes automatizados reduz drasticamente o tempo disponível para os defensores detectarem, responderem e combaterem o ataque em comparação com os métodos manuais tradicionais. Embora a mera presença do aplicativo afetado ou a ocorrência de uma autenticação não signifique necessariamente o vazamento de dados dos clientes, as modificações nas credenciais de serviço podem deixar portas dos fundos ativas mesmo após a correção do aplicativo original.
Diretrizes de mitigação e proteção técnica
As autoridades de segurança recomendaram a adoção de medidas imediatas para conter os riscos e proteger as infraestruturas afetadas por meio das seguintes ações:
- Manter as conexões dos aplicativos afetados da ConnectWise desativadas até que sejam emitidas diretrizes oficiais de restauração pela empresa fornecedora.
- Abster-se de excluir aplicativos corporativos como resposta inicial, concentrando-se em salvar registros de configuração e evidências forenses.
- Revisar as identidades dos administradores de serviço e os quatro identificadores de aplicativos associados ao incidente em cada locatário do Microsoft 365.
- Examinar os logs de auditoria do Microsoft Entra e os logs do Microsoft Purview em busca de quaisquer adições incomuns de credenciais ou privilégios de funções.