ConnectWise meldete am 22. Oktober 2026, dass Tests und Sicherheitsprüfungen für Cloud Backup vorankamen. Eine Wiederherstellung der Sicherungen stellte das Unternehmen für die frühe Folgewoche nur unter der Bedingung einer erfolgreichen Prüfung in Aussicht. Bis formelle Anweisungen zur Wiederherstellung eintrafen, sollten Partner die betroffenen Verbindungen deaktiviert lassen.
Der Status ist für Microsoft-365-Administratoren wichtig: Die Wiederherstellung der ConnectWise-Sicherungen und mögliche Aktivitäten in Kundenmandanten sind zwei verschiedene Fragen. Microsoft berichtete von Anmeldeversuchen bei mehr als 2.250 Mandanten und von Folgeaktivitäten in mehreren Kundenumgebungen. Die Zahl der Anmeldeversuche ist keine Zahl bestätigter Kompromittierungen.
ConnectWise stellte die Wiederherstellung unter einen Vorbehalt
ConnectWise hatte am 21. Oktober mit einer schrittweisen Wiederherstellung begonnen. Am 22. Oktober erklärte das Unternehmen, Tests und Sicherheitsprüfungen liefen weiter; Zugang zur Wiederherstellung der Sicherungen stellte es für die frühe Folgewoche nur für den Fall einer erfolgreichen Validierung in Aussicht. Die Partner sollten betroffene Anwendungsverbindungen bis zu den jeweiligen formellen Anweisungen deaktiviert lassen.
ConnectWise zufolge gab es keine Hinweise darauf, dass die verschlüsselten, isolierten Sicherungsarchive aufgerufen worden waren. Diese Aussage bezog sich auf die gespeicherten Archive. Ob einzelne Microsoft-365-Kundenmandanten von unbefugten Aktivitäten betroffen waren, musste separat geprüft werden.
Wie App-Identitäten einen Zugang zu Microsoft 365 ermöglichten
Microsoft zufolge nutzte die von Microsoft Storm-0940 zugeschriebene Kampagne kompromittierte ConnectWise-App-Identitäten und bereits erteilte Berechtigungen. Solche Anwendungsidentitäten können sich ohne interaktive Anmeldung eines Mitarbeiters authentifizieren. Microsoft ordnete Storm-0940 einem China-nahen staatlichen Akteur zu und berichtete, dass die Gruppe ARTEX bereits im September 2026 eingesetzt habe.
ARTEX ist ein quelloffenes Framework für automatisierte Penetrationstests mit mehreren KI-Agenten, die auf großen Sprachmodellen beruhen. Laut Microsoft kann es verschiedene KI-Modelle nutzen und Arbeitsschritte von der Aufklärung bis zum Datenabfluss automatisieren. Im Zusammenhang mit der Kampagne beschrieb Microsoft den Einsatz für Scans, Aufklärung, Passwort-Spraying und den Missbrauch von OAuth-Anwendungen.
Microsoft beobachtete Folgeaktivitäten über Microsoft Graph und im Verzeichnis mehrerer Kundenumgebungen. Dazu gehörten Aufklärungsaktivitäten, Änderungen an Anwendungsanmeldedaten sowie Versuche, Identitäten, Gruppen und privilegierte Rollen zu ändern. Änderungen an Anmeldedaten könnten laut Microsoft als Hintertür bestehen bleiben, selbst wenn die ursprünglich kompromittierte Anwendung bereinigt wurde.
Die Anmeldeversuche und die fehlgeschlagene Passwortkampagne
Microsoft beschrieb zwei getrennte Aktivitätsmuster. Bei einem Passwort-Spraying-Angriff probieren Angreifer verbreitete Passwörter systematisch bei vielen Konten aus. Zwischen dem 10. und 14. Oktober 2026 registrierte Microsoft bei einer solchen Kampagne mehr als 151.000 fehlgeschlagene Anmeldungen gegen 327 Konten in acht Organisationen. Für diesen Beobachtungszeitraum meldete Microsoft keine erfolgreiche Authentifizierung, Token-Ausgabe, Microsoft-Graph-Abfrage oder Verzeichnisänderung. Am 11. Oktober erreichte die Aktivität laut Microsoft einen Höchststand von 2.900 fehlgeschlagenen Anmeldungen pro Minute.
Davon getrennt waren die Versuche über ConnectWise-App-Identitäten: Microsoft zufolge zielten sie auf mehr als 2.250 Mandanten. Microsoft berichtete außerdem von mehreren Fällen, in denen Angriffe mit ARTEX privilegierten Cloud-Zugriff in weniger als drei Stunden erreichten. Die fehlgeschlagenen Anmeldungen vom 10. bis 14. Oktober und die Folgeaktivitäten über App-Identitäten beschreiben also unterschiedliche Vorgänge.
Was Administratoren prüfen sollten
Microsoft empfahl, die betroffenen ConnectWise-Verbindungen bis zu formellen Wiederherstellungsanweisungen deaktiviert zu lassen und Unternehmensanwendungen nicht als erste Reaktion zu löschen. Administratoren sollten nach Anwendungs-ID suchen, weil Anzeigenamen keine zuverlässige Zuordnung bieten. ConnectWise nannte für die Prüfung der Dienstprinzipal-Anmeldungen von Cloud Backup die Anwendungs-ID 506e08f9-6e9a-4da4-942b-a099a03644ae.
Microsoft riet außerdem, Microsoft-Entra-Anmelde- und Auditprotokolle, Microsoft-Purview-Auditdaten, SIEM-Daten und verfügbare Microsoft-Graph-Telemetrie zu sichern. Bei der Auswertung sollten erfolgreiche und fehlgeschlagene Anmeldungen von Dienstprinzipalen getrennt betrachtet werden. Microsoft empfahl, Aktivitäten mindestens ab dem 15. Oktober zu prüfen und Dienstprinzipal-Anmeldungen bei verfügbaren Protokollen bis zum 1. Oktober zurückzuverfolgen.
Zu den weiteren Prüfpunkten zählten unerwartet hinzugefügte Anmeldedaten, neue Anwendungen oder Anwendungsbesitzer, Rollenzuweisungen und Einwilligungen sowie Änderungen an Benutzern und Gruppen. Auch ungewöhnliche Zugriffe auf E-Mails und Dateien sollten untersucht werden. Microsoft zufolge beweisen eine betroffene Anwendung oder eine erfolgreiche Anmeldung für sich allein keinen Zugriff auf Kundendaten oder deren Abfluss.
