Un grupo vinculado a China empleó agentes de IA autónomos para vulnerar la cadena de suministro de ConnectWise y afectar a miles de empresas.
Puntos clave
- El grupo Storm-0940 utilizó el marco de pruebas de penetración ARTEX basado en IA.
- El ataque afectó a la cadena de suministro del gigante de TI ConnectWise.
- Los agentes automatizados intentaron accesos en más de 2.250 entornos de Microsoft 365.
El ataque a la cadena de suministro
Un grupo de piratas informáticos vinculados a China, identificado como Storm-0940, llevó a cabo una campaña a gran escala contra miles de empresas tras vulnerar los sistemas del gigante de TI ConnectWise. Según anunció Microsoft, los atacantes lograron comprometer el servicio de copia de seguridad en la nube de la compañía para sustraer credenciales de aplicaciones. Estas credenciales se utilizan habitualmente para establecer enlaces de datos entre ConnectWise y sus clientes corporativos, lo que permitió a los piratas informáticos acceder a entornos alojados en Microsoft y examinar correos electrónicos u otros archivos como si fuesen usuarios autorizados.
La investigación de Microsoft detalla que el incidente se originó tras una serie de actividades de exploración y ataques de contraseñas que precedieron a la filtración. Las alertas de seguridad se encendieron cuando se detectaron volúmenes inusitados de intentos de inicio de sesión automatizados contra múltiples organizaciones a nivel global, afectando a sectores muy diversos que van desde la automoción y la energía hasta servicios financieros y entidades gubernamentales.
Inteligencia artificial a velocidad de máquina
El aspecto más destacado de esta campaña radica en la utilización de inteligencia artificial para acelerar de forma exponencial las operaciones ofensivas. Según las observaciones de Microsoft, los atacantes emplearon ARTEX, un marco de código abierto basado en múltiples agentes de lenguaje grande diseñado originalmente para realizar pruebas de penetración automatizadas. Esta herramienta permitió a los operadores saltarse las limitaciones humanas habituales, operando de manera continua durante fines de semana y festivos para ejecutar rutas de ataque simultáneas.
La velocidad de los agentes de IA redujo drásticamente el tiempo necesario para pasar de la selección inicial del objetivo a la obtención de acceso privilegiado en infraestructuras en la nube, lográndolo en múltiples ocasiones en menos de tres horas. Con tasas que alcanzaron los miles de intentos de inicio de sesión por minuto, los defensores dispusieron de margenes mínimos para reaccionar ante la avalancha de tráfico automatizado, el cual también se sirvió de abusos en aplicaciones OAuth para mantener la persistencia sin requerir interacciones interactivas de inicio de sesión.
Por qué importa
Este incidente marca un punto de inflexión en la ciberseguridad al demostrar cómo las amenazas persistentes avanzadas integran sistemas autónomos de inteligencia artificial en sus flujos de trabajo ofensivos para escalar operaciones complejas. La relevancia radica en la velocidad con la que los agentes automatizados pueden comprometer múltiples inquilinos corporativos explotando la confianza en aplicaciones de terceros. Los administradores de sistemas y equipos de seguridad deben vigilar de cerca los registros de inicio de sesión de los principios de servicio, revisar las modificaciones de credenciales en aplicaciones OAuth y aplicar principios de privilegios mínimos para mitigar riesgos similares en el futuro.
Fuentes: AI-driven, large-scale nation-state campaign using ARTEX enables supply chain compromise (www.microsoft.com) · Chinese hackers spied on thousands of companies after breaching IT giant ConnectWise (TechCrunch) · China-aligned hackers deploy AI agents in massive ConnectWise supply chain attack (Tom's Hardware)
Comparte esta noticia
Lee también
