Microsoft afirma que Storm-0940 ataca a organizaciones de múltiples industrias para robar datos. Sus objetivos tácticos, según describe Microsoft, son:

• Obtener acceso inicial a inquilinos cloud a gran escala, incluso mediante aplicaciones de terceros comprometidas y de confianza.
• Establecer persistencia en entornos de Microsoft 365 y Entra ID agregando credenciales a aplicaciones OAuth existentes, de modo que el acceso sobreviva a la remediación del punto de entrada original.
• Alcanzar acceso cloud privilegiado con rapidez. Microsoft observó varios casos en los que el tiempo desde la selección inicial del objetivo hasta el acceso privilegiado fue inferior a 3 horas.

Storm-0940 ha utilizado históricamente aplicaciones comprometidas para acceder a correos electrónicos y otros datos y exfiltrarlos a través de Microsoft Graph. Sin embargo, en la campaña de ConnectWise, la presencia de una aplicación afectada o una autenticación exitosa no establece por sí sola que se haya accedido a datos de clientes o que estos hayan sido exfiltrados.

Microsoft reportó ataques dirigidos a los sectores aeroespacial y de defensa, automotriz, químico, energético, de servicios financieros, gubernamental, legal, manufacturero, de medios, militar, de semiconductores, de software, tecnológico, y a centros de estudios y organizaciones sin fines de lucro.

• Ataque de pulverización de contraseñas contra cuentas de Microsoft 365 y Exchange Online, históricamente y en la campaña entre inquilinos de octubre de 2026.
• Explotación de aplicaciones expuestas a internet para el acceso inicial, seguida de movimiento por el entorno con cuentas comprometidas.
• Compromiso de la cadena de suministro de aplicaciones OAuth multiinquilino, y luego autenticación a los inquilinos de clientes posteriores como la aplicación del proveedor, sin un inicio de sesión interactivo del usuario.
• Abuso de credenciales de aplicaciones OAuth: agregar credenciales a aplicaciones y entidades de servicio existentes para mantener la persistencia.
• Escalada de privilegios en Entra ID, incluido el caso de una aplicación que se asigna a sí misma un rol de alto privilegio, como Administrador global.
• Operaciones de Microsoft Graph y del directorio para reconocimiento y para cambios en identidades, grupos y roles privilegiados.
• Microsoft Defender for Cloud detectó lecturas masivas de secretos en múltiples Azure Key Vaults mediante el acceso de confianza de una aplicación multiinquilino comprometida. Los informes disponibles no establecen que estas lecturas hayan ocurrido en todos los inquilinos afectados por ConnectWise.
• Herramientas de IA agentiva: ARTEX, un marco de trabajo LLM multiagente de código abierto escrito en Go con un frontend en Next.js, que puede usar cualquier modelo de IA para ejecutar una prueba de penetración desde el reconocimiento hasta la exfiltración de datos con poca interacción humana.

En la campaña de ConnectWise de octubre de 2026, Microsoft describe el siguiente patrón:

• Ataques a gran escala: a partir de septiembre de 2026, se usó ARTEX contra cientos de organizaciones a nivel mundial. Microsoft indica que la mayoría de los ataques no tuvo éxito, pero se logró persistencia privilegiada en la nube en muchas organizaciones en poco tiempo.
• Ataque de password spray (10 al 14 de octubre de 2026): la infraestructura en 144.172.64[.]99 atacó 327 cuentas en ocho organizaciones, lo que generó más de 151.000 intentos de inicio de sesión fallidos, con un pico de alrededor de 2.900 fallos por minuto el 11 de octubre. Microsoft no observó ninguna autenticación exitosa en este ataque.
• Abuso de credenciales de aplicaciones (desde el 15 de octubre de 2026): Microsoft y Huntress asociaron distintas actividades con direcciones dentro del rango 144.172.64.0/24. Huntress identificó 144.172.64[.]99 con el ataque concentrado de password spray del 10 al 14 de octubre, y 144.172.64[.]128 con los inicios de sesión principales de aplicaciones de proveedores. Huntress también reportó una pequeña cantidad de inicios de sesión de usuario fallidos desde 144.172.64[.]60.
• Actividad posterior: en algunos inquilinos, los agentes pasaron de la autenticación a operaciones de Graph y del directorio, incluyendo reconocimiento, modificaciones de credenciales de aplicaciones y cambios relacionados con identidades, grupos y roles privilegiados.
• Persistencia: los cambios de credenciales pueden seguir activos como puerta trasera incluso después de remediar la aplicación comprometida original.