ConnectWise — Actores de Amenaza Vinculados a China Utilizan Agentes de IA ARTEX en Ataque a la Cadena de Suministro

Fecha de publicación: 22 de octubre de 2026
Categoría: Cadena de Suministro / Seguridad en la Nube

Introducción

Investigaciones recientes de seguridad informática han revelado que un grupo de ciberespionaje vinculado a China, rastreador bajo la denominación Storm-0940, ejecutó un sofisticado ataque contra la cadena de suministro de la aplicación ConnectWise Cloud Backup. Durante esta campaña, los atacantes integraron ARTEX, un marco de pruebas de penetración basado en inteligencia artificial agéntica y escrito en Go, para automatizar y acelerar operaciones de reconocimiento, escaneo masivo, ataques de pulverización de contraseñas (password spraying) y abuso de aplicaciones OAuth. La utilización de capacidades de IA a “velocidad de máquina” permitió a los adversarios vulnerar entornos empresariales y gubernamentales a escala global sin requerir interacción humana constante.

¿Qué es Storm-0940 y el Marco ARTEX? (Análisis General)

Storm-0940 es un grupo de amenaza persistente avanzada (APT) activo desde al menos 2021, previamente vinculado al uso de redes de bots como Quad7 para campañas de evasión y autenticación masiva. El elemento central de este nuevo incidente es ARTEX, una herramienta ofensiva basada en IA agéntica que originalmente operaba como software de código cerrado hasta que su uso malicioso contra instituciones financieras en Corea del Sur motivó su restricción.

Al emplear agentes autónomos, el framework elimina las limitaciones operativas humanas habituales (como fatiga o restricciones horarias), ejecutando múltiples rutas de ataque de forma simultánea. Desde el punto de vista de la taxonomía de amenazas, este incidente combina vulnerabilidades lógicas en la gestión de identidades en la nube con técnicas avanzadas de abuso de cadenas de suministro. Al no existir un identificador CVE formal asignado en este momento específico, se estima de manera razonada que los vectores asociados corresponden a fallos de control de acceso y gestión de credenciales en OAuth, con un impacto de severidad Crítica (CVSS v3.1 Estimado: 9.0 / Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H y CWE-284: Improper Access Control).

¿Cómo funciona? (Análisis Técnico)

El mecanismo técnico del ataque se estructura en varias fases automatizadas que operan a alta velocidad:

  • Fase inicial de pulverización de contraseñas y escaneo: Operando desde infraestructura maliciosa (por ejemplo, rangos IP como 144.172.64[.]99), los agentes de IA de ARTEX ejecutaron ataques automatizados de fuerza bruta y pulverización a escala masiva. Microsoft registró más de 151,000 eventos de inicio de sesión fallidos en un periodo de cuatro días, alcanzando picos de hasta 2,900 fallos por minuto.
  • Compromiso de aplicaciones OAuth y suplantación de identidad: Tras eludir o comprometer los mecanismos de autenticación tradicionales, los agentes ganaron acceso a las identidades de múltiples aplicaciones cloud de ConnectWise. Esto permitió a los atacantes autenticarse en los entornos de los clientes finales utilizando credenciales de aplicaciones legítimas que ya poseían una relación de confianza establecida en el arrendatario (tenant).
  • Movimiento lateral y persistencia basada en la nube: Una vez dentro de los entornos objetivo (incluyendo Microsoft 365 y Exchange Online), los agentes autónomos interactuaron directamente con Microsoft Graph y operaciones de directorios. Esto incluyó modificaciones de credenciales en aplicaciones OAuth existentes, manipulación de identidades y reasignación de roles privilegiados, estableciendo puertas traseras persistentes que permanecen activas incluso tras la remediación de la aplicación original comprometida.

Sistemas / Entornos Afectados

El ataque afectó de forma directa a la infraestructura de ConnectWise Cloud Backup y a miles de sus clientes (tenants) a nivel global. Los sectores impactados abarcan una amplia gama de industrias críticas, tales como:

  • Aeroespacial y defensa, automotriz, energía y servicios financieros.
  • Tecnologías de la información, desarrollo de software y servicios gestionados (MSPs).
  • Gobiernos, entidades militares, legales, centros de investigación (think tanks) y organizaciones sin fines de lucro.
  • Infraestructuras corporativas que integran autenticación centralizada mediante Microsoft 365 y Graph API.

Mitigación y Detección

Remediación

  • Revocación de tokens y credenciales OAuth: Auditar inmediatamente todas las aplicaciones integradas de terceros y revocar credenciales o permisos de OAuth que muestren actividad anómala o modificaciones no autorizadas.
  • Restricción de acceso y autenticación multifactor (MFA): Implementar políticas estrictas de MFA resistentes a phishing en todas las cuentas con privilegios administrativos y de directorio.
  • Actualización y parches de proveedores: Aplicar de forma inmediata los boletines y guías de restauración emitidos por ConnectWise y los proveedores de servicios en la nube afectados.

Detección

  • Monitoreo de logs de autenticación masiva: Configurar alertas ante picos inusuales de errores de inicio de sesión (password spraying) procedentes de direcciones IP sospechosas o rangos no habituales.
  • Auditoría de cambios en directorios y Graph API: Rastrear modificaciones en las credenciales de aplicaciones OAuth y cambios en roles privilegiados realizados fuera de las ventanas de mantenimiento autorizadas.

“Los agentes de IA no están limitados por factores humanos; pueden trabajar las 24 horas del día e intentar múltiples vías de brecha simultáneamente, reduciendo significativamente el tiempo desde la selección del objetivo hasta el logro de los objetivos.”

Recapitulando

El incidente de ConnectWise pone de manifiesto una evolución peligrosa en las tácticas de ciberdelincuencia y ciberespionaje: la integración de la inteligencia artificial agéntica en las fases ofensivas de la cadena de suministro. Al explotar la confianza intrínseca otorgada a aplicaciones integradas de terceros a “velocidad de máquina”, grupos como Storm-0940 pueden comprometer infraestructuras complejas en cuestión de horas. Este escenario exige que tanto proveedores de servicios gestionados (MSPs) como organizaciones consumidoras fortalezcan su postura defensiva mediante visibilidad estricta de identidades, monitoreo proactivo de APIs y gestión rigurosa de privilegios en la nube.

Referencias