Hackers ligados à China usam ferramenta de pentest com IA para invadir o ConnectWise, diz Microsoft

A Microsoft informou nesta quarta-feira (21 de outubro de 2026) que um grupo de hackers ligado à China, rastreado internamente como Storm-0940, comprometeu a empresa de serviços de TI ConnectWise usando uma ferramenta de pentest automatizada por inteligência artificial↳Inteligência artificial440 conteúdosUX e IA: Transformando Experiências Digitais com Inteligência ArtificialProduto & UX · jan 2025MCP: O que é e por que você vai ouvir falar disso em breve?AI · jul 2025IA generativa e a urgência de reconstruir nossa relação com a verdadeAI · jun 2025Ver tudo em AI → chamada ARTEX. Segundo a empresa, a campanha mirou centenas de organizações em todo o mundo, atravessando setores tão distintos quanto aeroespacial, defesa, automotivo, química, energia, serviços financeiros, governo, jurídico, manufatura, mídia, setor militar, semicondutores, software, tecnologia, think tanks e ONGs (fonte).

O ConnectWise já havia sinalizado problema antes do apontamento da Microsoft. Em comunicado publicado em seu site no dia 16 de outubro de 2026, a empresa disse estar investigando tentativas de acesso não autorizado associadas a seu ambiente de backup em nuvem:

Investigando tentativas recentes de acesso não autorizado associadas ao ambiente do ConnectWise Cloud Backup.

investigating recent attempts of unauthorized access associated with the ConnectWise Cloud Backup environment.ConnectWise, comunicado oficial (16 de outubro de 2026)

Até a publicação da reportagem da agência Reuters, o ConnectWise não havia respondido a pedidos de comentário sobre as conclusões da Microsoft, e a Embaixada chinesa em Washington também não se manifestou. Pequim costuma negar rotineiramente acusações de ciberespionagem patrocinada pelo Estado.

Como funciona o ARTEX

ARTEX é descrito pela Microsoft como um framework de pentest de código aberto↳Open source71 conteúdosComo o Open Source Está Liberando o Poder da Automação para TodosDev (Back & Front) · out 2025Código aberto: programadores criam software da NASA sem saberDev (Back & Front) · abr 2021N8N: O que é a ferramenta open source que está revolucionando a automação em TI?Dev (Back & Front) · dez 2025Ver tudo em Dev (Back & Front) →, uma categoria de ferramenta legítima usada por equipes de segurança para testar a resistência de redes e serviços. A diferença que preocupa é o grau de automação: o ARTEX permite acoplar qualquer modelo de IA ao processo e configurar tarefas autônomas, incluindo reconhecimento de alvo e exfiltração de dados, sem necessidade de operação manual contínua por um atacante humano.

Na prática, isso significa que o mesmo tipo de ferramenta que um time de segurança ofensiva usaria para simular um ataque e identificar falhas virou, nas mãos do Storm-0940, um pipeline automatizado de invasão. A Microsoft afirma que a maior parte das tentativas de invasão não teve sucesso, mas que o grupo conseguiu obter persistência privilegiada em ambientes de nuvem (acesso de alto nível capaz de sobreviver a esforços de limpeza) em várias organizações, e em um intervalo de tempo curto.

Por que isso chega ao parque de TI brasileiro

A fonte não cita vítimas no Brasil, e é importante não confundir isso com uma confirmação que não existe. Mas o recorte importa aqui por outro motivo: o ConnectWise não é um produto de uso interno de uma única empresa, é uma plataforma de RMM (remote monitoring and management) e PSA (professional services automation) construída justamente para ser operada por prestadores de serviço gerenciado, os MSPs.

Em resumo: quando um fornecedor desse tipo é comprometido, o risco não fica restrito ao próprio fornecedor. Ele se propaga para a carteira de clientes que o MSP administra remotamente, muitas vezes com acesso privilegiado a servidores, endpoints e backups. Boa parte da base de pequenas e médias empresas no Brasil terceiriza justamente esse tipo de operação para prestadores locais que rodam ferramentas como o ConnectWise como parte do próprio modelo de negócio.

Isso não significa que toda instalação de ConnectWise no país esteja comprometida, nem a Microsoft ou o ConnectWise disseram isso. Significa que qualquer time de TI ou DevOps↳DevOps29 conteúdosHabilite o Código de Segurança Azure DevOpsDevSecOps · jun 2025O que é DevOps – minha experiência como executivo nessa frenteDev (Back & Front) · abr 2026DevOps: a automação de processos de TI como estratégia de eficiência operacionalDev (Back & Front) · set 2024Ver tudo em DevSecOps → que dependa de um MSP, ou que opere o próprio ConnectWise internamente, tem motivo concreto para checar o próprio ambiente agora, em vez de esperar um comunicado mais detalhado.

Checklist: o que checar agora

Nem a Microsoft nem o ConnectWise divulgaram um roteiro oficial de resposta ao incidente até o momento. Mas diante do tipo de comprometimento descrito (persistência privilegiada em nuvem via automação com IA), um roteiro mínimo de verificação, de higiene básica de segurança para quem administra ou depende de uma instância do ConnectWise, costuma incluir:

• Revisar e rotacionar credenciais de contas administrativas e chaves de API do ConnectWise, inclusive integrações com backup em nuvem;
• Auditar registros de aplicativo OAuth e service principals criados recentemente em ambientes de nuvem conectados ao ConnectWise, procurando por persistência que não deveria existir;
• Confirmar que a autenticação multifator está obrigatória para todo acesso administrativo à plataforma, não só para contas de usuário final;
• Aplicar as atualizações e correções que o ConnectWise publicar em resposta ao incidente, em vez de adiar a janela de manutenção;
• Isolar, quando possível, a rede de gestão do RMM do restante da infraestrutura, limitando o raio de ação caso uma credencial seja comprometida.

Nenhum desses passos depende de confirmação final da investigação: eles valem como higiene básica para qualquer plataforma de gestão remota de TI, justamente por ser esse tipo de ferramenta um alvo valioso para quem quer pular de um fornecedor para dezenas de clientes de uma vez.

O que ainda está em aberto

A Microsoft não detalhou publicamente, segundo a fonte, o alcance exato da persistência obtida pelo Storm-0940 dentro da infraestrutura do ConnectWise, nem quantas das organizações afetadas tiveram dados efetivamente exfiltrados em vez de apenas serem alvo de tentativa. O ConnectWise também não confirmou, até o fechamento da reportagem original, as conclusões da Microsoft sobre o uso do ARTEX. Para quem opera ou depende da plataforma, a recomendação prática enquanto esses detalhes não vêm é tratar o alerta como gatilho de auditoria, não como notícia para arquivar.

Fonte

ET Tech (Índia): Chinese-linked hackers compromise ConnectWise, target hundreds in global attack, Microsoft says (Reuters, 22 de outubro de 2026).

Fonte: ET Tech (Índia)