Microsoft schrieb Storm-0940 am 21. Oktober 2026 die Kompromittierung von ConnectWise-Anwendungsidentitäten zu. Über diese bereits autorisierten Anwendungen versuchte der China-staatlich ausgerichtete Akteur, sich bei mehr als 2.250 Microsoft-365-Mandanten anzumelden. Microsoft zufolge blieben die meisten Versuche erfolglos; in mehreren Umgebungen beobachtete das Unternehmen jedoch Folgeaktivitäten.
Was die Zahl von mehr als 2.250 Mandanten aussagt
Die Zahl bezeichnet Mandanten, bei denen Storm-0940 laut Microsoft Anmeldungen versuchte. Sie ist keine Zahl bestätigter Kompromittierungen. Microsoft beobachtete Folgeaktivitäten in mehreren Umgebungen und berichtete, dass einige Angriffe privilegierten Cloud-Zugriff erreichten, teilweise innerhalb von weniger als drei Stunden nach der ersten Zielausrichtung.
Zwei getrennte Kampagnen mit unterschiedlichen Ergebnissen
Microsoft ordnet den Spitzenwert von 2.900 fehlgeschlagenen Anmeldeversuchen pro Minute einer separaten Password-Spray-Kampagne zu, nicht dem Missbrauch der ConnectWise-Anwendungsidentitäten. Bei einem Password Spray probieren Angreifer Passwörter gegen mehrere Konten aus.
| Operation | Zeitraum | Methode | Von Microsoft berichteter Umfang und Ausgang |
| Missbrauch von ConnectWise-Anwendungsidentitäten | Ab 15. Oktober 2026 | Anmeldung über bereits autorisierte ConnectWise-Anwendungen | Versuche bei mehr als 2.250 Mandanten; die meisten Zielversuche blieben erfolglos. Microsoft beobachtete Folgeaktivitäten in mehreren Umgebungen. |
| Separates Password Spray | 10. bis 14. Oktober 2026 | Passwortversuche gegen Konten in mehreren Organisationen | 327 Konten in acht Organisationen und mehr als 151.000 fehlgeschlagene Anmeldeereignisse. Am 11. Oktober erreichte die Rate 2.900 Fehlversuche pro Minute. Microsoft beobachtete keine erfolgreiche Authentifizierung, Token-Ausstellung, Graph-Aufrufe oder Verzeichnisänderungen. |
Wie ARTEX und autorisierte Anwendungen zum Einsatz kamen
Microsoft zufolge nutzte Storm-0940 ARTEX ab September 2026, um Angriffe zu automatisieren. Microsoft beschreibt ARTEX als quelloffenes, Multi-Agenten-LLM-Penetrationstest-Framework, das offensive Abläufe von der Aufklärung bis zum möglichen Datenabfluss mit wenig menschlicher Beteiligung automatisieren kann.
Die ConnectWise-Anwendungen verfügten bereits über Zugriff auf nachgelagerte Kundenumgebungen. Deshalb waren für diese Zugriffe keine interaktiven Anmeldungen einzelner Nutzer erforderlich. Microsoft beobachtete in mehreren Umgebungen Aufklärungsaktivitäten über Microsoft Graph, Änderungen an Anwendungsanmeldedaten und versuchte Änderungen an Identitäten, Gruppen und privilegierten Rollen.
ConnectWise setzte Dienste aus und leitete eine gestufte Wiederherstellung ein
ConnectWise deaktivierte sieben betroffene Anwendungsidentitäten, setzte Konten und Anmeldedaten in der betroffenen Cloud-Backup-Umgebung zurück und setzte Cloud Backup, SaaS Security sowie Cloud Management aus. Das Unternehmen erklärte, die bestehenden Backup-Archive seien verschlüsselt, isoliert und erhalten geblieben; es gebe keine Hinweise auf einen Zugriff. Diese Aussage bezog sich auf die gespeicherten Archive. Microsoft beobachtete unabhängig davon Aktivitäten in Live-Umgebungen mehrerer Kunden.
ConnectWise meldete am 21. Oktober 2026 den Beginn einer kontrollierten Wiederherstellung. Im Update vom 23. Oktober beschrieb das Unternehmen weitere Schritte als gestuft und von erfolgreicher Sicherheitsprüfung abhängig. Zugang zur Wiederherstellung bestehender Backups stellte ConnectWise für Anfang der folgenden Woche in Aussicht; die vollständige Wiederanmeldung der Dienste sollte anschließend schrittweise erfolgen.
Welche Aktivitäten Microsoft Administratoren empfiehlt zu prüfen
Microsoft empfiehlt Administratoren, Anmeldungen von Dienstprinzipalen zu kontrollieren. Dienstprinzipale sind technische Identitäten, über die Anwendungen auf Dienste zugreifen. Ebenfalls prüfen sollten Administratoren nachfolgende Aktivitäten in Microsoft Graph und im Verzeichnis, neu hinzugefügte Anwendungsanmeldedaten, Änderungen an Rollenzuweisungen und den Zugriff auf Ressourcen. Microsoft rät außerdem, Protokolle und andere Belege zu sichern.
ConnectWise empfahl, betroffene Verbindungen bis zu einer formellen Anweisung zur Wiederverbindung deaktiviert zu lassen.
