# Microsoft atribui ataque automatizado à ConnectWise a grupo chinês Storm-0940 > Microsoft aponta grupo chinês Storm-0940 em ataque automatizado à ConnectWise, com uso de IA e exploração de OAuth. Entenda os impactos para empresas. Publicado em 21/10/2026 · Atualizado em 21/10/2026 · IA ATLAS · Tech & Business Review, portal editorial da Upnetix · https://atlas.upnetix.com.br/microsoft-atribui-ataque-automatizado-a-connectwise-a-grupo-chines/ --- O cenário de cibersegurança corporativa ganhou novo alerta após a Microsoft atribuir ao grupo Storm-0940, associado ao Estado chinês, o comprometimento da cadeia de suprimentos da ConnectWise. O ataque, iniciado em setembro de 2026, envolveu a automação de tentativas de invasão utilizando inteligência artificial (IA) e expôs centenas de organizações a riscos de acesso privilegiado não autorizado em ambientes de nuvem. ![Sala de servidores moderna em data center corporativo com equipamentos de TI e luzes indicadoras.](https://upnetix.com.br/wp-content/uploads/2026/10/post46813-img1-intro.webp) Infraestrutura de nuvem corporativa potencialmente impactada pelo ataque automatizado do grupo Storm-0940 via ConnectWise, segundo análise da Microsoft. ## Automação de ataques com IA acelera invasões De acordo com análise técnica publicada pela Microsoft, o grupo Storm-0940 utilizou o módulo ARTEX, uma ferramenta de código aberto que emprega modelos de IA para executar testes de invasão de forma autônoma. O ARTEX permitiu ao grupo automatizar ataques contra mais de 2.250 locatários, com uma taxa de até 2.900 tentativas de autenticação por minuto. Em diversos casos, o intervalo entre a seleção do alvo e a obtenção de acesso privilegiado à nuvem foi inferior a três horas. Esse ritmo intenso de tentativas automatizadas representa uma mudança significativa no perfil de ameaças para empresas que utilizam integrações em nuvem, especialmente quando dependem de provedores terceirizados como a ConnectWise. A Microsoft enfatizou que a atividade observada não decorreu de vulnerabilidades em seus próprios sistemas ou serviços, mas sim do abuso de integrações legítimas e credenciais comprometidas. ## Exploração de OAuth e pulverização de senhas como vetor de ataque O vetor inicial do ataque envolveu técnicas conhecidas como pulverização de senhas (password spraying) e exploração de aplicativos expostos à internet. O objetivo era obter acesso inicial a contas corporativas, especialmente aquelas integradas ao Microsoft 365. Uma vez dentro do ambiente, o Storm-0940 estabelecia persistência ao adicionar credenciais a aplicativos OAuth já existentes. Isso permitia acesso contínuo e privilegiado, aproveitando a confiança previamente estabelecida entre os aplicativos e os locatários afetados. Entre 10 e 14 de outubro de 2026, a infraestrutura do grupo, identificada pelo IP 144.172.64[.]99, realizou uma campanha automatizada de pulverização contra 327 contas em oito organizações. A telemetria da Microsoft registrou mais de 151 mil eventos de logon malsucedidos, com pico de 2.900 falhas por minuto em 11 de outubro. Após comprometer as identidades de aplicativos de nuvem da ConnectWise, os agentes utilizaram a mesma faixa de IP para autenticar em ambientes de clientes com credenciais roubadas, explorando a relação de confiança já estabelecida. ## Persistência e movimentação lateral em ambientes de nuvem ![Gráfico de barras e linha mostrando picos de tentativas de autenticação automatizadas e falhas de login entre 10 e 14 de outubro.](https://upnetix.com.br/wp-content/uploads/2026/10/post46813-img2-meio-1.webp) Telemetria da Microsoft registrou até 2.900 tentativas de autenticação por minuto e mais de 151 mil eventos de logon malsucedidos durante campanha automatizada do grupo Storm-0940. O acesso obtido não se limitou à autenticação inicial. Em alguns ambientes, os invasores avançaram para operações mais sofisticadas, utilizando a API Microsoft Graph e acessando o diretório corporativo. Isso incluiu reconhecimento do ambiente, alteração de credenciais para manter persistência e modificações envolvendo identidades, grupos e funções privilegiadas. Essas ações ampliam o potencial de dano, pois permitem ao atacante manipular permissões e acessar dados sensíveis de forma prolongada. O caso evidencia como a exploração de integrações OAuth e o abuso de credenciais em aplicativos conectados à nuvem podem transformar um incidente pontual em uma ameaça sistêmica, atingindo múltiplas organizações a partir de um único ponto de comprometimento na cadeia de suprimentos. ## Recomendações e resposta: o que as empresas devem fazer agora A Microsoft publicou orientações detalhadas para as organizações afetadas. A principal recomendação é manter as conexões dos aplicativos ConnectWise comprometidos desativadas até que a fornecedora publique instruções de restauração. A empresa alerta para não excluir os aplicativos como primeira resposta, a fim de preservar configurações e evidências antes de realizar mudanças irreversíveis. Outras orientações incluem: - Inventariar os quatro identificadores de aplicativo listados no perfil, registrando o Object ID do service principal em cada locatário. - Revisar todos os locatários do Microsoft 365 onde os aplicativos afetados estão ou estiveram instalados, pesquisando pelo ID do aplicativo, não pelo nome. - Preservar registros de auditoria do Microsoft Entra e do Purview, além de dados de SIEM. - Analisar a atividade a partir de 15 de outubro de 2026, separando logons bem-sucedidos e malsucedidos de service principals e investigando fontes desconhecidas, sem se limitar aos IPs publicados. - Em casos confirmados, revogar permissões desnecessárias e rotacionar credenciais. Para apoiar a detecção e resposta, a Microsoft disponibilizou indicadores de comprometimento, consultas de caça e detecções em suas plataformas de segurança, como Defender XDR, Defender for Cloud Apps e Sentinel. Os IPs envolvidos incluem 144.172.64[.]128, 144.172.64[.]99, 144.172.64[.]60, além das faixas 187.15.88[.]186, 187.15.90[.]217 e 187.15.89[.]186. ## Impactos para empresas: riscos ampliados na cadeia de suprimentos digital ![Diagrama ilustrativo do processo de ataque automatizado envolvendo pulverização de senhas, exploração de OAuth e movimentação lateral em nuvem.](https://upnetix.com.br/wp-content/uploads/2026/10/post46813-img3-meio-2.webp) Fluxo do ataque automatizado do grupo Storm-0940 demonstrando técnicas de pulverização de senhas, exploração de OAuth para persistência e movimentação lateral em ambientes de nuvem. O ataque atribuído ao Storm-0940 destaca um novo patamar de risco para empresas que terceirizam integrações e serviços em nuvem. O uso de IA para automatizar ataques reduz drasticamente o tempo entre a identificação do alvo e o comprometimento efetivo, tornando insuficientes controles tradicionais baseados apenas em detecção de anomalias ou bloqueio de IPs conhecidos. Além disso, a exploração de aplicativos OAuth e a persistência obtida por meio de credenciais adicionadas a aplicativos legítimos dificultam a identificação e a erradicação do invasor. Para organizações que dependem de múltiplos provedores e integrações, especialmente em setores críticos ou regulamentados, o incidente reforça a necessidade de monitoramento contínuo, inventário rigoroso de integrações e revisão frequente de permissões concedidas a aplicativos de terceiros. O caso também evidencia que ataques de cadeia de suprimentos digital podem escalar rapidamente, atingindo não apenas a empresa-alvo direta, mas também seus clientes e parceiros conectados. O impacto potencial se amplia em ambientes de alta interdependência, como o de empresas industriais, operadoras logísticas e órgãos públicos que utilizam plataformas SaaS (Software as a Service) integradas. ## Consequências para a gestão de TI e o contexto de Manaus Para gestores de TI e decisores empresariais em Manaus e no Polo Industrial da região, o episódio serve como alerta para a importância de políticas de segurança que considerem a cadeia de suprimentos digital. A dependência de integrações em nuvem e de provedores terceirizados amplia a superfície de ataque e exige respostas coordenadas entre equipes internas e fornecedores. Empresas locais, especialmente aquelas que utilizam soluções de gestão, automação ou suporte remoto baseadas em nuvem, devem priorizar a revisão de integrações OAuth, a segmentação de acessos e a implementação de monitoramento em tempo real de atividades privilegiadas. A manutenção de registros de auditoria e a capacidade de resposta rápida a incidentes tornam-se diferenciais críticos para evitar impactos operacionais e reputacionais. O caso ConnectWise expõe que a resiliência digital não depende apenas da robustez dos sistemas internos, mas da vigilância constante sobre todo o ecossistema de integrações e parceiros. Em um cenário de ataques automatizados e persistência sofisticada, a infraestrutura de conectividade e segurança precisa evoluir para acompanhar o ritmo das ameaças. ![Analista de cibersegurança monitorando ataques em ambiente corporativo moderno.](https://upnetix.com.br/wp-content/uploads/2026/10/post46813-img4-fechamento.webp) Especialista em cibersegurança monitorando atividade suspeita e implementando recomendações para mitigar riscos decorrentes do ataque automatizado do grupo Storm-0940. O episódio envolvendo a ConnectWise e o grupo Storm-0940 ilustra como a automação de ataques baseada em IA e a exploração de integrações legítimas elevam o risco para empresas conectadas à nuvem. Para organizações que operam em ambientes críticos ou de alta dependência digital, a capacidade de identificar, isolar e responder rapidamente a incidentes em toda a cadeia de suprimentos tornou-se um imperativo estratégico. O fortalecimento da infraestrutura de conectividade, aliado a práticas rigorosas de governança de integrações, é o próximo passo para mitigar vulnerabilidades e garantir a continuidade dos negócios diante de ameaças cada vez mais sofisticadas. Fonte: https://atlas.upnetix.com.br/microsoft-atribui-ataque-automatizado-a-connectwise-a-grupo-chines/ · ATLAS, portal editorial da Upnetix (Manaus, Brasil) · uso com citação obrigatória.