ConnectWise erwartete am 23. Oktober 2026, Tests und Sicherheitsvalidierung für Cloud Backup bis zum Ende des Wochenendes abzuschließen. Zugang zur Backup-Wiederherstellung stellte das Unternehmen für Anfang der folgenden Woche in Aussicht, falls die Validierung erfolgreich ausfiel.
Der Wiederherstellungsplan hing von der Sicherheitsprüfung ab
ConnectWise hatte am 17. Oktober sieben Anwendungsidentitäten deaktiviert und den Zugang zu Cloud Backup ausgesetzt. Am 19. Oktober meldete das Unternehmen einen vollständigen Reset der Konten und Zugangsdaten in der betroffenen Umgebung. Die Angaben vom 23. Oktober beschrieben den nächsten Schritt als bedingte Prognose.
ConnectWise sagte außerdem, dass vorhandene Backup-Archive verschlüsselt, isoliert und erhalten seien und es keine Hinweise auf eine Kompromittierung gebe. Diese Aussage bezog sich auf gespeicherte Archive. Microsoft beobachtete zugleich Aktivitäten in Microsoft-365-Umgebungen von Kunden. SaaS Security und Cloud Management waren wegen ihrer Integration mit Cloud Backup ebenfalls ausgesetzt; ConnectWise meldete keine Hinweise auf Auswirkungen weiterer Angebote.
NeoTeo hatte den früheren Stand der Anmeldeaktivitäten bereits im Bericht zum ConnectWise-Angriff auf Microsoft 365 eingeordnet.
Wiz beobachtete weitere Angriffsversuche bei Softwareanbietern
Wiz beschrieb Aktivitäten im Umfeld von Okta, Microsoft Entra und AWS Cognito. Dazu gehörten die Erkundung von API-Routen und Source Maps, Tests an OAuth-Rückleitungen und nicht signierten JWTs sowie Registrierungen mit temporären E-Mail-Adressen und Prüfungen von Kontowiederherstellungsfunktionen. Wiz zufolge scheiterten die meisten beobachteten Versuche. Die Beobachtungen belegen daher keine erfolgreiche Kompromittierung jedes angegriffenen Anbieters.
Microsoft beschreibt ARTEX als agentisches KI-Penetrationstest-Framework und berichtet, dass Storm-0940 damit Scans, Aufklärung, Passwortspraying und den Missbrauch von OAuth-Anwendungen beschleunigte. Microsoft schreibt Storm-0940 den ConnectWise-Angriff zu und beschreibt den Akteur als China-staatsnah.
Microsoft trennt Passwortspraying von späterer App-Nutzung
Vom 10. bis 14. Oktober 2026 richtete sich eine Passwortspray-Kampagne laut Microsoft gegen 327 Konten bei acht Organisationen. Dabei registrierte Microsoft mehr als 151.000 fehlgeschlagene Anmeldeereignisse, aber in dieser Phase keine erfolgreiche Authentifizierung, Token-Ausgabe, Microsoft-Graph-Abfrage oder Änderung im Verzeichnis.
Ab dem 15. Oktober nutzten die Angreifer laut Microsoft Identitäten mehrerer ConnectWise-Cloud-Anwendungen zur Anmeldung in Kundenumgebungen. In einigen Umgebungen beobachtete Microsoft danach Aufklärung sowie Änderungen an Anwendungszugangsdaten, Identitäten, Gruppen und privilegierten Rollen. Insgesamt zählte Microsoft mehr als 2.250 Mandanten-Anmeldeversuche im Zusammenhang mit ARTEX-Aktivitäten.
Microsoft betont, dass eine betroffene Anwendung oder eine erfolgreiche Authentifizierung für sich genommen keinen Zugriff auf Kundendaten oder deren Abfluss belegt.
ConnectWise-Angriff auf Microsoft 365: Was mehr als 300 erfolgreiche Anmeldungen bedeuten
