Grupos de hackers ligados à China passaram a usar o ARTEX, uma ferramenta de inteligência artificial de código aberto, para automatizar invasões. A CrowdStrike afirma que o grupo VAPOR PANDA mirou mais de 200 organizações no mundo, e o BleepingComputer cita alvos em 14 países.
Em paralelo, a Microsoft ligou a mesma ferramenta ao grupo Storm-0940, que atacou o serviço de backup em nuvem da ConnectWise. O caso mostra como agentes de IA reduzem o tempo entre a primeira tentativa de acesso e o roubo de dados.
Índice
O QUE É O ARTEX
O ARTEX é um framework de teste de invasão publicado no GitHub no começo de 2026 por uma conta chamada Autumn-27. Ele aceita qualquer modelo de IA e coordena uma equipe de agentes capaz de conduzir um teste completo, da fase de reconhecimento até a retirada dos dados, com pouca intervenção humana. A descrição consta no relatório da Microsoft, citado pelo site The Record.
O desenvolvedor, identificado como o engenheiro chinês Li Puhua, afirmou em 8 de outubro que o uso indevido o levou a parar as atualizações e migrar o projeto para código fechado. As cópias já publicadas continuam disponíveis, de acordo com a RuntimeWire.
O QUE DIZEM CROWDSTRIKE E MICROSOFT
Segundo a CrowdStrike, operadores humanos dirigiram as tarefas de invasão, e houve atividade confirmada após a exploração em nove das organizações visadas. Ou seja, a maior parte dos alvos foi tentada sem sucesso, mas os casos que deram certo bastam para acender o alerta.
A Microsoft publicou seu relatório em 21 de outubro e descreve o Storm-0940 como um grupo alinhado ao governo chinês, ativo desde 2021 e focado em roubo de dados. Ele costuma atacar aplicativos expostos à internet e usar contas comprometidas para ampliar o acesso. A Zscaler publicou na mesma data um estudo sobre ataques apoiados pelo ARTEX em dezenas de setores.
O ATAQUE À CONNECTWISE
O episódio mais concreto envolve o ConnectWise Cloud Backup, serviço que protege dados do Microsoft 365 e do Google Workspace. Os invasores usaram credenciais roubadas para chegar a sistemas em que o aplicativo estava instalado. A ConnectWise desligou vários serviços durante um fim de semana, e a Microsoft atribuiu a ação ao Storm-0940 ao cruzar os endereços de IP informados pela empresa com os de suas próprias investigações.
Os números do volume chamam atenção. A Microsoft registrou cerca de 2.900 tentativas de login por minuto, mais de 111 mil falhas em 11 de outubro e 48 contas com mais de mil falhas cada uma. Os bloqueios automáticos representaram quase 98% de toda a atividade, o que indica que as defesas básicas funcionaram na maior parte do tempo.
POR QUE A VELOCIDADE ASSUSTA
Em vários casos, os invasores obtiveram acesso privilegiado em menos de três horas depois do primeiro alvo. Antes, esse tipo de operação exigia uma equipe grande e semanas de preparação. Com agentes de IA, a tarefa roda sem pausa e testa vários caminhos ao mesmo tempo.
A Microsoft avisa que essa automação permite aos atacantes escalar as operações de forma exponencial e deixa pouco tempo para os defensores humanos reagirem. Ataques anteriores ligados ao ARTEX já atingiram instituições financeiras da Coreia do Sul e do Japão.
A RESPOSTA DE PEQUIM
A porta-voz do Ministério das Relações Exteriores da China, Mao Ning, disse não ter conhecimento dos incidentes. A ferramenta, por ser aberta, também dificulta a atribuição, já que qualquer grupo pode baixá-la e adaptá-la.
O QUE EMPRESAS BRASILEIRAS PODEM FAZER
As recomendações seguem a lógica dos ataques descritos. Serviços expostos à internet precisam de correções em dia, contas de nuvem pedem autenticação em dois fatores e tentativas em massa de login devem gerar alerta e bloqueio rápido. O caso da ConnectWise indica que provedores de backup e de gestão remota merecem a mesma vigilância dada aos sistemas principais.
PERGUNTAS FREQUENTES
O ARTEX é um programa ilegal?
Ele nasceu como ferramenta de teste de segurança, mas grupos de ataque passaram a usá-lo para invadir organizações.
A IA invade sozinha?
A CrowdStrike afirma que operadores humanos dirigiram as tarefas. A ferramenta automatiza etapas, mas não elimina o controle humano.
Quem foi atingido?
Governo, setor aeroespacial, defesa, finanças, indústria, tecnologia e energia, segundo a Microsoft, além de bancos sul-coreanos e japoneses em casos anteriores.
Como se proteger?
Com atualizações frequentes, autenticação em dois fatores e monitoramento de tentativas de login em massa.
