La semana dejó una confirmación que preocupa: Microsoft atribuyó el compromiso de ConnectWise Cloud Backup a Storm-0940, un actor alineado con el Estado chino que usó agentes de IA para automatizar el ataque contra tenants de Microsoft 365 (el tenant es la instancia de Microsoft 365 de cada organización).
Además, el bloqueo por defecto de Exchange Web Services (EWS) en Exchange Online ya está rompiendo complementos y clientes de correo, y dos fallas que dejó la actualización de octubre (Exchange local y la VPN Always On) siguen sin solución definitiva.
Para devs llegó .NET 11 RC2 con licencia «go-live», y en Azure hay novedades para quienes tienen que custodiar sus propias claves.
🔒 Seguridad y parches
Storm-0940 usó agentes de IA para entrar por ConnectWise
ConnectWise Cloud Backup (ex SkyKick) es un servicio de respaldo de Microsoft 365 que se conecta a cada cliente como una aplicación de Entra ID (el servicio de identidades de Microsoft) con permisos amplios. A mediados de octubre, alguien inició sesión con la identidad de esas aplicaciones en tenants de sus clientes.
Microsoft Threat Intelligence atribuyó el ataque a Storm-0940, que usó ARTEX, un framework abierto de pruebas de penetración con múltiples agentes de IA que encadena reconocimiento, robo de credenciales y extracción de datos casi sin intervención humana. Intentó iniciar sesión en más de 2.250 tenants, con picos de 2.900 fallas por minuto, y entre el 10 y el 14 de octubre lanzó un «password spray» (probar contraseñas comunes contra muchas cuentas) sobre 327 cuentas de ocho organizaciones.
El 15 de octubre los agentes tomaron la identidad de varias aplicaciones de ConnectWise y las usaron contra los tenants. ConnectWise mantiene suspendido Cloud Backup y pide no reconectar nada hasta que publique instrucciones. Qué hacer: buscar las aplicaciones en todos los tenants, conservar los logs de Entra desde el 1 de octubre y revisar credenciales agregadas a otras aplicaciones, porque pueden quedar como puerta trasera.
GhostAction vuelve con phishing a mantenedores de GitHub
El grupo detrás de GhostAction (workflows maliciosos de GitHub Actions) ahora envía falsas alertas de seguridad de GitHub que roban contraseña y segundo factor y autorizan una aplicación OAuth (un permiso para que una app actúe en nombre de la cuenta) sobre repositorios y workflows. En 94 repositorios dejó workflows renombrados como lint.yml o audit.yml y persistencia en tasks.json de VS Code, que se ejecuta al abrir la carpeta.
Qué hacer: revisar las autorizaciones OAuth de la cuenta, revocar tokens desde un equipo limpio y no confiar automáticamente en carpetas clonadas en VS Code.
La actualización de octubre rompe Exchange en Windows Server
Las actualizaciones de octubre de Windows Server (KB5126646, KB5126655, KB5126651 y KB5126868) limitan a 512 las consultas simultáneas al Endpoint Mapper de RPC, el servicio de Windows que le indica a cada cliente en qué puerto atiende cada servicio. Con carga alta, Exchange deja de aceptar inicios de sesión en OWA y Outlook y el correo queda en la bandeja de salida.
Microsoft pide no desinstalar el parche. La solución temporal es reg add "HKLM\SOFTWARE\Microsoft\Rpc" /v EpmapSavedContextCap /t REG_DWORD /d 65536 /f y reiniciar; la corrección definitiva todavía no salió.
🪟 Windows y Microsoft 365
EWS bloqueado en Exchange Online: cómo destrabar las apps
Desde el 1 de octubre, Exchange Online bloquea por defecto Exchange Web Services, la interfaz que usan muchos complementos y clientes para leer correo y calendario. Microsoft explicó cómo destrabar lo que se rompió: complementos de Outlook, versiones viejas de Outlook para Windows, Mail y Calendario de macOS y cualquier app propia que use EWS.
Arreglo temporal: destildar «Block your entire organization from using EWS» en la página Baseline Security Mode del centro de administración, o ejecutar Set-OrganizationConfig -EWSEnabled $true (tarda hasta 4 horas). El 1 de abril de 2027 EWS se apaga para siempre, así que el arreglo real es migrar a Microsoft Graph. Exchange Server local no cambia.
La VPN Always On sigue fallando
Microsoft había dado por resuelto con la actualización KB5127648 el error que deja las conexiones Always On «Conectando» en Windows 11 24H2 y posteriores. Después reconoció que no era así y prometió la corrección «en las próximas semanas». Mientras tanto: configurar el perfil con un solo protocolo (solo SSTP o solo IKEv2).
Quick Machine Recovery llega a Windows Server 2025
Con la actualización de octubre, Windows Server 2025 suma Quick Machine Recovery: si el servidor no arranca, el entorno de recuperación busca en Windows Update una corrección puntual. Viene apagado; se activa por directiva de grupo. Conviene probarlo en servidores no críticos.
🤖 IA y Copilot
Project Perception: los agentes como «empleados internos»
Microsoft amplió Project Perception a los agentes que corren dentro de la empresa: suma «Guardian Agents» que supervisan lo que hace cada agente y políticas que ajustan sus permisos según el riesgo, hasta contenerlo. Comparte el registro de agentes con Agent 365. Las cifras de efectividad son de Microsoft.
MAI-DxO, publicado en Science
Microsoft AI presentó la versión revisada por pares de su orquestador de diagnóstico: en casos complejos del New England Journal of Medicine acertó el 83%, contra el 36% de médicos generalistas trabajando solos. No se comparó con especialistas y no está aprobado para uso clínico.
☁️ Azure
TLS sin exportar la clave en Application Gateway
Ya está disponible en general la terminación TLS en Application Gateway con claves guardadas en Key Vault Managed HSM: cada firma del handshake ocurre dentro del HSM (el hardware que custodia la clave) y la clave nunca sale. Sirve a bancos y fintechs con exigencias de custodia; a cambio, cada conexión depende del HSM.
Nube soberana: claves externas y Azure Local desconectado
En París, Microsoft actualizó su oferta de nube soberana: gestión de claves externas con Managed HSM disponible en general y, en Azure Local, SQL Server y máquinas virtuales confidenciales disponibles en general, también sin conexión. Aunque el foco es Europa, aplica a bancos y gobiernos de la región con requisitos de residencia de datos.
La mitad de Git de GitHub ya corre en Azure
GitHub contó que ya tiene en Azure una copia del 99,99999% de sus repositorios y que Azure atiende cerca de la mitad del tráfico de Git. La razón que da: el crecimiento exponencial del tráfico por los agentes.
🧑💻 Para devs: GitHub, VS Code, .NET
.NET 11 RC2 ya se puede usar en producción
.NET 11 RC2 trae licencia «go-live» (soporte en producción). Suma APIs experimentales de criptografía poscuántica (CompositeMLKem, Hpke), QuickGrid estable y la opción --min-publish-age-hours de NuGet, que evita instalar paquetes recién publicados, una defensa contra ataques a la cadena de suministro. Es momento de probar la migración.
🧩 Más novedades de la semana
- Azure DNS se integra directo con Traffic Manager, sin CNAME intermedio (disponible en general).
- Deshabilitar rutas de peering de VNet llega en vista previa, útil para forzar tráfico entre spokes por un firewall.
- Actions Runner Controller 0.15.0 (del 1 de octubre) reduce llamadas a la API para runners propios en Kubernetes.
- Los modelos de OpenAI y Codex llegan a Google Cloud: Azure deja de ser la única gran nube con esos modelos.
- El driver 621.01 de Nvidia activa Advanced Shader Delivery de Microsoft, para que los juegos arranquen más rápido.
- Microsoft desistió de un centro de datos de Nscale en el Reino Unido por falta de capacidad eléctrica hasta la década de 2030.
¿Ya revisaron las aplicaciones con permisos en su tenant?
El caso ConnectWise muestra que una aplicación de terceros con permisos amplios puede ser la puerta de entrada. ¿Cuántas tienen consentidas en su tenant y cuándo fue la última revisión? Los leemos en los comentarios.
Fuentes
- Microsoft Security: Storm-0940 uses ARTEX agentic AI in ConnectWise supply chain compromise
- ConnectWise: Trust advisories
- The Hacker News: GhostAction attackers plant credential stealers
- BleepingComputer: Microsoft October Windows Server updates cause Exchange issues
- Exchange Team Blog: Exchange Online EWS application stopped working? Do this
- BleepingComputer: Microsoft shares how to fix broken Exchange Online EWS apps
- Microsoft Support: KB5127648
- BleepingComputer: Windows Server 2025 gets support for Quick Machine Recovery
- Microsoft Security: Agents are your newest insiders
- TechCrunch: Microsoft’s diagnostic orchestrator in Science
- Azure Updates: Keyless TLS on Application Gateway with Managed HSM
- Microsoft: Advancing digital sovereignty with greater control and choice
- GitHub Blog: The bridge to agent-scale Git infrastructure
- .NET Blog: .NET 11 RC2
