Hacker cinesi usano ARTEX, un agente AI, per attaccare i clienti ConnectWise

Un framework open source nato per fare penetration test è finito nelle mani di un gruppo di hacker legato alla Cina e ha contribuito a una delle campagne più insidiose dell’anno contro gli ambienti cloud Microsoft. Il 21 ottobre 2026 Microsoft Threat Intelligence ha pubblicato la ricostruzione di un attacco alla supply chain che passa da ConnectWise e arriva ai tenant Microsoft 365 di centinaia di organizzazioni. Il protagonista tecnico si chiama ARTEX, uno strumento di hacking guidato da agenti AI.

Per chi si occupa di intelligenza artificiale è una notizia che va letta con attenzione, perché mostra cosa succede quando gli agenti autonomi, cioè la stessa tecnologia che oggi usi per programmare o fare ricerca, vengono puntati contro un obiettivo sbagliato.

Cosa è successo con ConnectWise e ARTEX

Secondo la ricostruzione di Microsoft, l’attore dietro la campagna è Storm-0940, un gruppo allineato allo Stato cinese e attivo almeno dal 2021. Gli attaccanti hanno usato ARTEX per automatizzare la ricognizione, il password spraying e l’abuso di applicazioni OAuth. Il punto di svolta è stato il furto delle credenziali applicative di ConnectWise, in particolare quelle legate al servizio Cloud Backup.

Con quelle credenziali gli attaccanti hanno potuto presentarsi ai tenant dei clienti come un’applicazione già autorizzata. Nessun utente da ingannare, nessuna password da indovinare.

Una finestra di poche ore

Le ricostruzioni pubblicate parlano di un’attività concentrata nella mattina del 15 ottobre, quando i token Microsoft Graph sono stati richiesti in sequenza su molti tenant, a pochi secondi di distanza l’uno dall’altro. Microsoft osserva che diversi attacchi guidati da ARTEX hanno raggiunto accessi privilegiati nel cloud in meno di tre ore. È la velocità, più ancora della sofisticazione, il vero elemento di rottura.

ConnectWise ha emesso un avviso il 16 ottobre e ha sospeso i servizi coinvolti, disattivando le identità applicative compromesse. Microsoft ha precisato che l’attività non deriva da una vulnerabilità o da una compromissione dei suoi sistemi, prodotti o servizi.

Perché l’autenticazione a più fattori non ha aiutato

Qui sta la parte più istruttiva. L’app di backup si autentica con una propria credenziale, grazie al consenso OAuth già concesso dai clienti, e non con la password di una persona. Se non c’è un utente, non c’è nemmeno una richiesta di MFA da superare. Le autorizzazioni dell’app, tra l’altro, erano molto ampie.

Dopo l’accesso, gli attaccanti hanno usato Microsoft Graph per esplorare gli ambienti e per aggiungere nuove credenziali ad altre applicazioni, così da mantenere la presenza anche dopo la disattivazione della connessione originale.

Che cos’è ARTEX e perché riguarda l’intelligenza artificiale

ARTEX è un framework agentico per penetration test. L’architettura descritta dai ricercatori prevede un agente pianificatore che mantiene un elenco condiviso di attività, una serie di agenti operativi che eseguono i singoli compiti e un grafo globale che tiene traccia di bersagli, credenziali e vulnerabilità. Funziona con modelli linguistici compatibili con le API di OpenAI, quindi non dipende da un singolo fornitore.

Non è un malware nuovo. È uno strumento nato per il test di sicurezza, e il problema è proprio questo: la stessa automazione che aiuta un team difensivo a trovare i punti deboli permette a un attaccante di moltiplicare il proprio ritmo di lavoro.

Cosa ha trovato Zscaler

Un’analisi separata di Zscaler ha documentato l’uso di ARTEX da parte di un operatore di lingua cinese insieme ad altri ambienti di lavoro con AI, tra cui strumenti di programmazione agentica come Claude Code e Codex. Il framework scomponeva gli obiettivi in compiti, lanciava strumenti di sicurezza noti come nmap, sqlmap e nuclei e conservava i risultati, mentre note condivise e script di sincronizzazione permettevano a sessioni AI distinte di riprendere il lavoro.

Zscaler ha anche segnalato che l’operatore istruiva gli agenti a considerare i bersagli come autorizzati e a ridurre le richieste di approvazione. Le configurazioni citavano più modelli, ma i ricercatori avvertono che il nome di un modello in un file non dimostra quale modello abbia davvero risposto. Zscaler non ha nemmeno stabilito che la sua indagine e quella di Microsoft riguardino lo stesso attore.

I numeri: cosa è confermato e cosa no

Le cifre in circolazione vanno maneggiate con prudenza. Microsoft riferisce di oltre 2.250 tenant Microsoft 365 presi di mira e di picchi di circa 2.900 tentativi di accesso al minuto. Nella fase di password spraying tra il 10 e il 14 ottobre sono stati contati più di 151.000 accessi falliti su 327 account di otto organizzazioni, senza autenticazioni riuscite in quella fase.

Bersaglio non significa violato. Huntress, secondo quanto riportato dalla stampa specializzata, ha confermato accessi non autorizzati in circa 300 tenant, su quasi mille che mostravano attività da indirizzi degli attaccanti. Microsoft ricorda inoltre che un accesso riuscito, da solo, non prova un furto di dati: ogni ambiente va valutato separatamente.

Cosa fare se usi ConnectWise o integrazioni simili

Le raccomandazioni di Microsoft sono concrete e vale la pena seguirle anche se non sei un cliente diretto, perché riguardano qualunque integrazione OAuth multi-tenant.

• Mantieni disattivate le connessioni ConnectWise coinvolte finché non arrivano indicazioni ufficiali per il ripristino.
• Conserva le prove prima di eliminare le applicazioni aziendali in Entra, altrimenti perdi i log necessari all’indagine.
• Controlla gli accessi dei service principal, le nuove credenziali, i consensi concessi e le modifiche ai ruoli, comprese le integrazioni autorizzate in passato.
• Applica il privilegio minimo alle app con permessi molto ampi e monitora le anomalie su Graph, caselle di posta e regole di inoltro.

Se gestisci siti, agenzie o servizi per clienti, il discorso vale doppio: ogni plugin, backup o strumento di terze parti con accesso ai tuoi account è una porta potenziale.

Dalle banche sudcoreane ai tenant cloud

ARTEX non è comparso dal nulla. Secondo la ricostruzione di Tech Times, che cita CrowdStrike, il framework era già stato usato il 7 ottobre contro alcune banche sudcoreane, mentre l’analisi di Zscaler collega il suo abuso alle precedenti violazioni finanziarie in Corea del Sud. Lo sviluppatore, riferisce la stessa fonte, avrebbe poi chiuso il codice, ma le copie e i fork già in circolazione restano disponibili.

Il punto è che il codice aperto non si ritira. Una volta pubblicato, uno strumento offensivo può essere modificato, collegato a nuovi modelli e rimesso in circolo da chiunque.

Per le aziende questo significa un cambio di prospettiva pratico: la difesa non può più basarsi sull’idea che gli attacchi automatizzati siano rari o costosi. Se un singolo operatore riesce a coordinare decine di agenti che lavorano in parallelo, anche un gruppo piccolo può permettersi campagne che prima richiedevano un team numeroso, e il tempo per accorgersene si riduce da giorni a ore.

Un tema che il settore sta già affrontando

Non è un caso isolato. Nelle ultime settimane abbiamo raccontato come i fornitori di sicurezza stiano portando gli agenti AI anche sul lato difensivo, per esempio nell’alleanza tra Sophos e OpenAI sugli agenti per la sicurezza gestita, e come il quadro delle minacce stia cambiando, come emerge dal Microsoft Digital Defense Report 2026. L’episodio di ConnectWise aggiunge un dettaglio che pesa: la corsa tra attacco e difesa si gioca ormai sulla velocità degli agenti.

Un punto resta aperto. Gli strumenti agentici sono sempre più accessibili, e le barriere che i laboratori mettono nei loro modelli non bastano se il framework funziona con qualsiasi modello compatibile, anche open. La risposta dovrà passare da controlli sull’identità delle applicazioni, da permessi più stretti e da un monitoraggio che non si fermi agli utenti umani.

Conclusioni e cosa fare adesso

Il caso ARTEX non dice che l’AI sia fuori controllo. Dice che le identità non umane, come app, token e service principal, sono diventate il bersaglio preferito, perché sfuggono all’MFA e vengono verificate meno di un account personale.

Dedica oggi mezz’ora a un inventario: quali app hanno accesso ai tuoi tenant cloud, con quali permessi e da quando? Per i dettagli tecnici e gli indicatori di compromissione leggi il rapporto di Microsoft e la ricerca di Zscaler, e seguici per i prossimi aggiornamenti.