Le 23 octobre 2026, ConnectWise indiquait que les tests de restauration de Cloud Backup et la validation de sécurité étaient encore en cours. L’entreprise prévoyait de donner accès à la restauration des sauvegardes au début de la semaine suivante, sous réserve que la validation aboutisse. Elle déclarait aussi que les archives existantes restaient chiffrées, isolées et préservées, sans indice de compromission.
La restauration dépendait encore de la validation
Dans sa mise à jour du 23 octobre à 01 h 00 UTC, ConnectWise prévoyait d’achever les tests et la validation avant la fin du week-end. L’accès à la restauration devait suivre au début de la semaine suivante si les contrôles étaient concluants. Il s’agissait d’un calendrier prévisionnel, pas d’une confirmation de rétablissement.
La déclaration sur les archives concerne les sauvegardes stockées. Microsoft a, de son côté, observé des activités dans certains environnements clients Microsoft 365. NeoTeo avait déjà détaillé les premiers relevés de connexion dans son article sur l’activité observée dans les environnements Microsoft 365.
L’incident concernait les identifiants d’application de ConnectWise Cloud Backup, anciennement SkyKick. ConnectWise a également suspendu SaaS Security et Cloud Management en raison de leur intégration avec Cloud Backup. L’entreprise indiquait ne pas avoir d’indice d’impact sur ses autres produits ou services.
Microsoft distingue deux phases d’activité
Microsoft estime que Storm-0940, un acteur aligné sur l’État chinois, est responsable de la compromission de ConnectWise. Selon son analyse, cet acteur a utilisé ARTEX, un cadre de tests d’intrusion fondé sur des agents d’intelligence artificielle, pour accélérer la reconnaissance, l’analyse, les tentatives de mots de passe et l’abus d’applications OAuth.
Du 10 au 14 octobre, une campagne de password spraying, qui teste des mots de passe sur de nombreux comptes, a visé 327 comptes dans huit organisations. Microsoft a recensé plus de 151 000 échecs de connexion durant cette phase. Il n’y a observé aucune authentification réussie, émission de jeton, opération Microsoft Graph ou modification d’annuaire.
Microsoft situe à partir du 15 octobre l’utilisation d’identités de plusieurs applications cloud de ConnectWise pour se connecter aux environnements clients. Ces identités pouvaient utiliser des accès déjà accordés aux applications, sans connexion interactive d’un utilisateur. Microsoft a recensé plus de 2 250 tentatives de connexion à des environnements clients associées à l’activité ARTEX. Dans certains environnements, l’entreprise a observé de la reconnaissance, des changements d’identifiants d’application et des modifications touchant des identités, des groupes et des rôles privilégiés.
Microsoft précise que la présence d’une application concernée ou une authentification réussie ne signifie pas nécessairement que des données clients ont été consultées ou exfiltrées. L’activité observée après certaines authentifications et l’accès aux données sont deux faits distincts.
Wiz a observé des tentatives contre d’autres fournisseurs
Wiz a décrit des tentatives visant plusieurs fournisseurs de logiciels et de services informatiques. Les observations comprenaient la découverte de routes d’API et de fichiers source map, des sondes sur les points de retour OAuth et les jetons JWT non signés, ainsi que des tests de récupération de comptes et d’isolation entre environnements clients. Wiz a aussi signalé des activités concernant Okta, Microsoft Entra ID et AWS Cognito, et des inscriptions utilisant des adresses électroniques temporaires.
Wiz indique que la plupart des tentatives observées ont échoué. Certaines sessions ont duré de 24 à 30 heures ; lorsque des adresses IP étaient bloquées, de nouvelles apparaissaient en quelques minutes, selon les observations de ses chercheurs.
