Microsoft registra 2.900 logins por minuto em ataque movido por agentes

Microsoft Threat Intelligence divulgou um relatório que assusta pela velocidade. Hackers ligados ao governo chinês invadiram mais de 2.250 ambientes corporativos na nuvem da empresa.

Contudo, o acesso privilegiado saiu em menos de três horas.

A porta de entrada veio de terceiro. Uma brecha na ConnectWise, empresa de software para gerenciamento de TI, abriu caminho para a campanha.

A ferramenta que automatizou o ataque

O grupo responsável aparece monitorado sob o nome Storm-0940. No entanto, ele atua desde 2021 com foco em roubo de dados.

Nesta campanha, porém, o time usou uma ferramenta de código aberto↳Open source71 conteúdosComo o Open Source Está Liberando o Poder da Automação para TodosDev (Back & Front) · out 2025Código aberto: programadores criam software da NASA sem saberDev (Back & Front) · abr 2021N8N: O que é a ferramenta open source que está revolucionando a automação em TI?Dev (Back & Front) · dez 2025Ver tudo em Dev (Back & Front) → chamada ARTEX.

O software automatiza etapas que antes exigiam trabalho manual. A lista inclui varredura de vulnerabilidades, roubo de credenciais e invasão de dados.

Consequentemente, a janela de resposta das equipes de segurança encolheu bastante.

A mudança de estratégia que destravou a invasão

Além disso, a cronologia explica bem o caso. Entre 10 e 14 de outubro, o grupo disparou mais de 151 mil tentativas de login contra contas de oito organizações.

Essa primeira fase falhou.

Em seguida, os invasores mudaram de abordagem. Eles passaram a explorar credenciais de aplicativos da ConnectWise que já tinham a confiança dos sistemas.

Aí entrou a automação por agentes. No entanto, o grupo passou a disparar cerca de 2.900 tentativas de autenticação por minuto contra os inquilinos do Microsoft 365.

O detalhe que explica por que a Microsoft demorou a barrar

Esse ponto merece atenção de quem administra identidade. Segundo o relatório, os agentes mantiveram a mesma faixa de IP durante as autenticações.

A empresa descreveu o comportamento com clareza. Além disso, os agentes seguiram usando o acesso ilícito adquirido e aproveitaram a confiança já estabelecida entre os sistemas.

Portanto, o tráfego malicioso passou por um canal considerado legítimo.

O que aconteceu do lado da ConnectWise

A empresa reagiu tirando serviços do ar. Cloud Backup, SaaS Security e Cloud Management foram suspensos para conter o problema.

O executivo chefe Manny Rivelo afirmou que as conexões afetadas foram isoladas. A restauração dos serviços seguiu de forma gradual.

Ele também resumiu a lógica do alvo. Em entrevista ao The Register, apontou que atores estatais miram a cadeia de suprimentos porque uma conexão confiável abre a porta para várias organizações.

Sobre os dados, a companhia trouxe um alívio parcial. Os arquivos de backup existentes seguem criptografados e isolados, sem indício de comprometimento direto.

O alcance do incidente e quem monitora agora

Os setores atingidos aparecem espalhados globalmente. Além disso, a lista inclui defesa, tecnologia, finanças e governo.

A automação reduziu drasticamente o tempo disponível para detectar e bloquear a invasão.

O monitoramento segue em três frentes. Participam as equipes de engenharia da ConnectWise, especialistas terceirizados em resposta a incidentes e analistas de segurança da big tech.

O que revisar no seu ambiente agora

Primeiro, audite as aplicações de terceiro com consentimento concedido no seu tenant. Confiança herdada foi exatamente o vetor usado aqui.

Segundo, revise os limites de taxa na autenticação. Volume de 2.900 tentativas por minuto precisa disparar alerta bem antes da terceira hora.

Terceiro, trate IP conhecido com ceticismo. Faixa reutilizada por conexão legítima deixa de ser garantia quando a credencial vaza.

Quarto, reduza o escopo dos tokens de aplicação. Entretanto, a permissão ampla transforma uma brecha pontual em acesso transversal.

Por fim, teste o seu plano de resposta contra velocidade. Processo desenhado para dias de investigação perde utilidade diante de ataque automatizado.

Acompanhe nosso perfil no Instagram!