Ataque à ConnectWise: o que fazer agora para se proteger
No dia 21 de outubro de 2026, a Microsoft revelou detalhes alarmantes sobre um ataque sofisticado à cadeia de suprimentos da ConnectWise. O grupo Storm-0940, alinhado ao Estado chinês, comprometeu a plataforma e usou inteligência artificial para automatizar invasões em centenas de organizações. A notícia, publicada pelo CISO Advisor, acende um alerta urgente para empresas que dependem de fornecedores de software.
O ataque em números: velocidade e escala assustadoras
O Storm-0940 utilizou o módulo ARTEX, uma ferramenta de testes de invasão baseada em IA, para automatizar ataques de pulverização de senhas e exploração de aplicativos expostos. Os números impressionam:
- 2.250 locatários atacados
- 2.900 tentativas de autenticação por minuto
- 151 mil eventos de logon malsucedidos em apenas 5 dias
- 3 horas entre a seleção do alvo e o acesso privilegiado à nuvem
Essa velocidade é inédita. Antigamente, um ataque levava dias ou semanas. Agora, com IA, o tempo de reação das equipes de segurança foi drasticamente reduzido.
Como o Storm-0940 explorou a ConnectWise
O vetor inicial foi o comprometimento de aplicativos OAuth legítimos da ConnectWise. Após obter credenciais, o grupo adicionou suas próprias credenciais a esses aplicativos, garantindo acesso persistente ao Microsoft 365 dos clientes. A partir daí, os atacantes puderam:
- Realizar reconhecimento no Microsoft Graph
- Alterar credenciais para manter o controle
- Modificar identidades, grupos e funções privilegiadas
O abuso de OAuth é particularmente perigoso porque dispensa a necessidade de senhas repetidas. Uma vez que o aplicativo malicioso é adicionado, ele age como um backdoor silencioso.
O que fazer agora: ações imediatas de contenção
Se sua empresa usa ConnectWise ou qualquer outro fornecedor de software, aja imediatamente:
- Desative temporariamente os aplicativos ConnectWise afetados até instruções oficiais.
- Preserve evidências: não exclua os aplicativos; mantenha logs e configurações para análise forense.
- Inventarie os quatro IDs de aplicativo listados no perfil técnico da Microsoft e registre o Object ID do service principal em cada locatário.
- Revise todos os locatários do Microsoft 365 onde os aplicativos estão instalados, pesquisando pelo ID do aplicativo (não pelo nome).
- Analise os logs de auditoria do Microsoft Entra e Purview a partir de 15 de outubro de 2026, separando logons bem-sucedidos e malsucedidos de service principals.
- Investigue fontes desconhecidas, sem se limitar aos IPs publicados (144.172.64[.]128, 144.172.64[.]99, 144.172.64[.]60, 187.15.88[.]186, 187.15.90[.]217, 187.15.89[.]186).
- Revogue permissões desnecessárias e rotacione credenciais em casos confirmados.
Golpe do falso suporte técnico: o perigo logo após o ataque
Após incidentes de grande repercussão, é comum o surgimento de golpes de falso suporte técnico. Criminosos se passam por equipes de segurança da ConnectWise ou da Microsoft, oferecendo "ajuda" para remediar o ataque. Eles podem ligar, enviar e-mails ou até criar sites falsos.
Como se proteger:
- Desconfie de contatos não solicitados: empresas legítimas não pedem senhas ou acesso remoto por telefone.
- Verifique o remetente: e-mails fraudulentos costumam ter domínios parecidos, mas não idênticos.
- Não clique em links suspeitos: acesse os comunicados oficiais diretamente nos sites das empresas.
- Não forneça códigos de verificação: nenhum suporte legítimo solicita isso.
O golpe do falso suporte é uma das táticas mais eficazes para explorar o pânico pós-ataque. Mantenha a calma e siga apenas os canais oficiais.
Lições para o futuro: cadeia de suprimentos sob ataque
Este incidente reforça a necessidade de gerenciamento rigoroso de terceiros. Empresas de todos os portes precisam:
- Monitorar continuamente as permissões de aplicativos de terceiros.
- Implementar políticas de acesso mínimo (least privilege).
- Exigir transparência dos fornecedores sobre suas práticas de segurança.
- Manter planos de resposta a incidentes testados regularmente.
A cadeia de suprimentos é um alvo cada vez mais atraente para grupos patrocinados por Estados. Um único fornecedor comprometido pode abrir portas para milhares de vítimas.
Tabela comparativa: indicadores de comprometimento (IoCs) do ataque
| Tipo de IoC | Valor | Descrição |
|---|---|---|
| IP | 144.172.64[.]128 | Infraestrutura de comando e controle |
| IP | 144.172.64[.]99 | Usado na campanha de pulverização de senhas |
| IP | 144.172.64[.]60 | Infraestrutura adicional |
| IP | 187.15.88[.]186 | Faixa de IP maliciosa |
| IP | 187.15.90[.]217 | Faixa de IP maliciosa |
| IP | 187.15.89[.]186 | Faixa de IP maliciosa |
Além dos IPs, a Microsoft disponibilizou detecções no Defender XDR, Defender for Cloud Apps, Sentinel e Advanced Hunting. Utilize essas ferramentas para caçar ameaças em seu ambiente.
FAQ: Perguntas frequentes sobre o ataque à ConnectWise
1. O que é o Storm-0940?
É um grupo de ameaças atribuído à China, especializado em ataques à cadeia de suprimentos e uso de IA para automatizar invasões.
2. Minha empresa está em risco se não usa ConnectWise?
Sim, o mesmo modus operandi pode ser usado contra outros fornecedores. É essencial revisar permissões de terceiros regularmente.
3. Como saber se fui afetado?
Verifique os logs do Microsoft Entra e Purview a partir de 15/10/2026, procurando por logons de service principals desconhecidos ou IPs listados acima.
4. O que é pulverização de senhas?
É um ataque que tenta senhas comuns em muitas contas, evitando bloqueios por tentativas excessivas.
5. Como evitar o golpe do falso suporte técnico?
Nunca forneça senhas ou acesso remoto a contatos não solicitados. Verifique sempre a identidade por canais oficiais.
6. A Kzarka pode ajudar a monitorar meus dados?
Sim, a Kzarka monitora vazamentos de dados e alerta sobre exposições, ajudando a prevenir roubo de identidade digital.
Diante de ameaças tão sofisticadas, a prevenção é a melhor defesa. Verifique agora se seus dados vazaram e monitore sua identidade digital com a Kzarka. Não espere ser a próxima vítima.