Microsoft führte den Angriff auf ConnectWise Cloud Backup in einer am 21. Oktober 2026 veröffentlichten Analyse auf Storm-0940 zurück und berichtete, die Gruppe habe das KI-Framework ARTEX eingesetzt, um Angriffsabläufe zu beschleunigen. Microsoft beschrieb zwei getrennte Wege: eine erfolglose Passwort-Spraying-Kampagne gegen Benutzerkonten und spätere Anmeldeversuche mit ConnectWise-Anwendungsidentitäten in Microsoft-365-Mandanten.
Storm-0940 und ARTEX
Microsoft schrieb Storm-0940 den Angriff auf die mandantenübergreifende Anwendung von ConnectWise Cloud Backup zu. Das Unternehmen ordnete die Gruppe China zu und berichtete, sie habe ARTEX bereits ab September 2026 genutzt. ARTEX ist ein quelloffenes Framework für Penetrationstests mit mehreren KI-Agenten auf Basis großer Sprachmodelle. Microsoft zufolge beschleunigte es Aufklärung, Scans, Passwort-Spraying und den Missbrauch von OAuth-Anwendungen.
Zwei unterschiedliche Angriffswege
Die Passwort-Spraying-Kampagne richtete sich gegen Benutzerkonten; die spätere Aktivität nutzte Anwendungsidentitäten von ConnectWise. Microsoft beobachtete die erste Kampagne vom 10. bis 14. Oktober 2026. Für die spätere Kampagne berichtete das Unternehmen von Anmeldeversuchen bei mehr als 2.250 Mandanten und einer Spitzenrate von 2.900 Versuchen pro Minute.
| Angriffsweg | Verwendete Identität | Von Microsoft berichtete Aktivität |
| Passwort-Spraying, 10. bis 14. Oktober 2026 | Benutzerkonten | Mehr als 151.000 fehlgeschlagene Anmeldeereignisse gegen 327 Konten in acht Organisationen; keine erfolgreiche Anmeldung, Token-Ausgabe, Microsoft-Graph-Aktion oder Verzeichnisänderung in dieser Kampagne |
| Spätere ConnectWise-Kampagne | Anwendungsidentitäten | Anmeldeversuche bei mehr als 2.250 Mandanten; Spitzenrate von 2.900 Versuchen pro Minute |
Die beiden Kampagnen betrafen unterschiedliche Identitäten und dürfen nicht zu einer gemeinsamen Zahl erfolgreicher Zugriffe zusammengezählt werden. Huntress beschrieb die missbrauchte ConnectWise-Anmeldeinformation als eine Client Assertion, die im Mandanten des Anbieters gespeichert war, nicht als Kennwort eines einzelnen Kundenkontos.
Was nach Anmeldungen geschah
Microsoft beobachtete in mehreren Kundenumgebungen anschließende Aktivitäten über Microsoft Graph und im Verzeichnis. Dazu gehörten Aufklärung, Änderungen an Anwendungsanmeldedaten und Versuche, Berechtigungen zu ändern. Microsoft nannte keine Zahl von Kunden, bei denen Daten abgerufen oder exfiltriert wurden. Eine erfolgreiche Anmeldung belegt für sich genommen keinen Zugriff auf Kundendaten oder deren Abfluss.
ConnectWise und die Prüfung der Mandanten
ConnectWise erklärte, das Unternehmen habe den unbefugten Zugriff auf Anwendungsidentitäten am 14. Oktober 2026 erkannt, Cloud Backup ausgesetzt, Zertifikate für betroffene Anwendungsverbindungen widerrufen und die zuvor genutzten gemeinsamen Cloud-Backup-Anmeldedaten ungültig gemacht. In einer Aktualisierung vom 17. Oktober teilte ConnectWise mit, die gespeicherten Archive seien verschlüsselt und isoliert; es gebe keine Hinweise auf einen Zugriff auf diese Archive.
Microsoft empfiehlt Administratoren, Anmeldungen von Dienstprinzipalen sowie nachfolgende Microsoft-Graph-Aktivitäten, Änderungen an Anwendungsanmeldedaten, privilegierten Rollen, Einwilligungen und Verzeichnissen zu prüfen. Huntress rät außerdem, betroffene ConnectWise- und SkyKick-Anwendungen einzubeziehen, auch wenn sie nicht mehr aktiv genutzt werden. Bei betroffenen Anwendungsverbindungen empfiehlt Huntress, sie zu deaktivieren statt zu löschen und relevante Mandantenspuren zu sichern.
