Le 22 octobre 2026, ConnectWise indiquait que les tests de restauration de Cloud Backup et la validation de sécurité progressaient. L’accès à la restauration des sauvegardes, envisagé au début de la semaine suivante, restait soumis à une validation réussie. L’entreprise demandait aux partenaires de laisser désactivées les connexions concernées jusqu’à réception des consignes propres au service, dans sa mise à jour sur l’incident.
L’état du rétablissement au 22 octobre
ConnectWise avait publié un premier avis le 16 octobre. Le 17, l’entreprise a signalé un accès non autorisé aux identités d’application de Cloud Backup et coupé l’accès de ces applications. Elle a indiqué le 19 avoir réinitialisé les comptes et identifiants de l’environnement concerné. Le 21, elle a lancé un rétablissement progressif, sous réserve de validation de sécurité.
Comment les identités ConnectWise ont servi de voie d’accès à Microsoft 365
Dans son rapport du 21 octobre, Microsoft a attribué à Storm-0940 l’utilisation d’identités d’applications ConnectWise dont les autorisations avaient été accordées au préalable. Ces identités pouvaient s’authentifier sans connexion interactive d’un employé. Microsoft rapporte des tentatives de connexion visant plus de 2 250 tenants Microsoft 365, puis des activités dans plusieurs environnements clients, notamment des opérations de reconnaissance dans Microsoft Graph, des changements d’identifiants d’application et des tentatives de modification des identités, des groupes et des rôles privilégiés. Microsoft indique que certaines attaques ont obtenu des accès cloud privilégiés en moins de trois heures après le ciblage initial. Son rapport sur Storm-0940 et ARTEX décrit ARTEX comme un cadre open source de tests d’intrusion à agents multiples, capable d’automatiser des opérations avec peu d’intervention humaine.
Deux ensembles d’activité à distinguer
Entre le 10 et le 14 octobre 2026, Microsoft a observé plus de 151 000 échecs de connexion visant 327 comptes dans huit organisations. Pour cet ensemble précis de tentatives par pulvérisation de mots de passe, Microsoft n’a constaté ni authentification réussie, ni émission de jeton, ni appel à Microsoft Graph, ni changement dans l’annuaire.
Ces observations portent sur une activité distincte des tentatives visant plus de 2 250 tenants au moyen des identités d’application ConnectWise. Microsoft a également rapporté des activités ultérieures dans plusieurs environnements clients. Les deux ensembles correspondent donc à des opérations et des résultats différents.
Les vérifications recommandées aux administrateurs
Microsoft recommande de maintenir désactivées les connexions concernées jusqu’à réception des consignes officielles de rétablissement. L’entreprise conseille aussi de ne pas supprimer les applications d’entreprise comme première mesure, de rechercher les applications par leur identifiant plutôt que par leur nom d’affichage, et de conserver les journaux utiles à l’analyse.
Les administrateurs peuvent examiner les connexions des principaux de service dans Microsoft Entra, les journaux d’audit Microsoft Purview, les données SIEM et la télémétrie Microsoft Graph. Microsoft recommande de passer en revue l’activité à partir du 15 octobre et, lorsque les journaux le permettent, d’étendre l’examen des connexions de principaux de service jusqu’au 1er octobre. La recherche doit inclure les connexions réussies et échouées, les nouveaux identifiants ou propriétaires d’applications, les autorisations accordées, les attributions de rôles, les changements d’utilisateurs ou de groupes, ainsi que les accès inhabituels aux courriels ou aux fichiers. ConnectWise a indiqué l’identifiant d’application 506e08f9-6e9a-4da4-942b-a099a03644ae pour l’examen des journaux de connexion liés à Cloud Backup.
