En octubre de 2026, investigadores de seguridad identificaron una campaña de alto nivel de sofisticación liderada por el actor estatal chino Storm-0940. El grupo aprovechó ARTEX, un framework de pentesting agente‑IA escrito en Go y alimentado por modelos DeepSeek, para lanzar un ataque a la cadena de suministro a través del servicio ConnectWise Cloud Backup. En menos de 24 horas, la operación generó más de 2 900 intentos de inicio de sesión por minuto, acumulando más de 151 000 intentos fallidos y comprometiendo 327 cuentas en ocho organizaciones de sectores estratégicos.

Qué sabemos

El vector inicial se basó en la integración de ConnectWise con sus clientes mediante credenciales de OAuth. Storm-0940 obtuvo tokens OAuth válidos y los reutilizó para mantener persistencia dentro de los entornos comprometidos. Una vez dentro, el framework ARTEX utilizó la API de Microsoft Graph para mapear usuarios, grupos y recursos, lo que permitió una rápida elevación de privilegios. En algunos casos, los atacantes lograron acceso privilegiado en menos de tres horas desde la primera señal de compromiso.

El alcance del ataque se extendió a más de 2 250 inquilinos de ConnectWise, con 327 cuentas objetivo distribuidas entre ocho organizaciones. Los sectores impactados incluyen aeroespacial, defensa, gobierno, financiero, semiconductores y energía. La campaña se distinguió por su velocidad: se registraron 2 900 intentos de inicio de sesión por minuto, lo que generó más de 151 000 intentos fallidos en total.

Análisis técnico

El uso de ARTEX representa una evolución significativa en la automatización de pruebas de penetración. El framework, desarrollado en Go, incorpora modelos de IA DeepSeek que pueden generar scripts, identificar vulnerabilidades y ejecutar acciones sin intervención humana. En este caso, la IA se encargó de:

  • Descubrir credenciales OAuth válidas dentro de la configuración de ConnectWise.
  • Crear y rotar tokens para evadir detecciones basadas en credenciales estáticas.
  • Consultar Microsoft Graph para enumerar usuarios, grupos y permisos, facilitando la identificación de cuentas de alto valor.
  • Ejecutar comandos de escalada de privilegios y establecer persistencia mediante la creación de aplicaciones registradas en Azure AD.

Los indicadores de compromiso (IOCs) incluyen la dirección IP de comando y control 144.172.64.99. No se reportaron hashes de archivos ni CVEs específicas asociadas al ataque, pero la metodología muestra una clara adopción de técnicas de la matriz MITRE ATT&CK, como T1078 (Valid Accounts), T1098 (Account Manipulation) y T1087 (Account Discovery).

Qué deben hacer los equipos de seguridad

  • Revisar y revocar inmediatamente todos los tokens OAuth emitidos por ConnectWise Cloud Backup que no sean estrictamente necesarios.
  • Implementar monitoreo de anomalías en la API de Microsoft Graph, detectando patrones de consultas masivas o inusuales.
  • Aplicar políticas de privilegio mínimo en Azure AD, limitando la capacidad de crear aplicaciones registradas a cuentas de servicio específicas.
  • Bloquear el tráfico saliente hacia la IP de C2 144.172.64.99 y agregarla a listas de bloqueo de firewalls y proxies.
  • Ejecutar revisiones de auditoría de inicio de sesión para identificar intentos de acceso fallidos masivos (más de 2 900 por minuto) y correlacionarlos con eventos de token OAuth.
  • Actualizar las reglas de detección de SIEM para incluir patrones de comportamiento de agentes IA, como generación automática de scripts y uso de modelos de lenguaje para crear comandos.
  • Capacitar a los equipos de respuesta a incidentes en la identificación de actividades de IA autónoma, ya que la velocidad de ejecución supera los tiempos de reacción tradicionales.
Fuente: The Hacker News