Il 21 ottobre 2026 Microsoft ha attribuito a Storm-0940 la compromissione di ConnectWise Cloud Backup e ha riferito che il gruppo ha usato ARTEX per accelerare le operazioni contro ambienti Microsoft 365. Il rapporto distingue una campagna di password spraying, senza accessi riusciti, da una successiva attività tramite credenziali applicative ConnectWise.
L’attribuzione di Microsoft e il ruolo di ARTEX
Microsoft ha valutato che Storm-0940, gruppo allineato allo Stato cinese secondo l’azienda, fosse responsabile della compromissione dell’applicazione multi-tenant di ConnectWise Cloud Backup. Microsoft ha riferito che l’uso di ARTEX era iniziato già a settembre 2026. ARTEX è un framework open source di penetration testing che impiega agenti basati su modelli linguistici di grandi dimensioni; secondo Microsoft, ha accelerato ricognizione, scansione, password spraying e abuso di applicazioni OAuth.
Due campagne, due modalità di accesso
Microsoft ha descritto una campagna contro account utente e una successiva fase di accessi tramite identità applicative ConnectWise. I numeri appartengono a fasi diverse e indicano attività differenti.
| Campagna | Identità utilizzata | Attività riferita da Microsoft |
| Password spraying, dal 10 al 14 ottobre 2026 | Account utente | Oltre 151.000 tentativi di accesso falliti contro 327 account in otto organizzazioni; nessuna autenticazione riuscita, emissione di token, chiamata a Microsoft Graph o modifica della directory osservata in questa campagna. |
| Campagna ConnectWise | Credenziali di applicazioni | Tentativi di accesso verso oltre 2.250 tenant, con un picco riferito di 2.900 tentativi al minuto; Microsoft ha osservato successive attività in più ambienti dei clienti. |
Huntress ha descritto la credenziale di ConnectWise Cloud Backup come un’asserzione client conservata nel tenant del fornitore. Questo tipo di credenziale consente a un’applicazione di autenticarsi usando le autorizzazioni già concesse al servizio, senza usare la password di un singolo cliente. L’identificativo dell’applicazione ConnectWise Cloud Backup è 506e08f9-6e9a-4da4-942b-a099a03644ae.
Attività osservata dopo l’autenticazione
Microsoft ha riferito ricognizione tramite Microsoft Graph, modifiche alle credenziali delle applicazioni e tentativi di modificare privilegi in più ambienti dei clienti. Huntress ha inoltre descritto un tenant partner in cui l’applicazione ConnectWise Cloud Management - MS Teams, identificativo 24205314-2b89-4e07-a2a4-579e898a5640, si è assegnata il ruolo Global Administrator e ha aggiunto credenziali a due altre applicazioni.
Un’autenticazione riuscita non dimostra da sola che siano stati consultati o sottratti dati. Microsoft non ha comunicato quanti clienti abbiano subito accessi ai dati o esfiltrazioni; le sue osservazioni descrivono attività in più ambienti, ma non indicano che ogni tenant abbia subito le stesse azioni.
La risposta di ConnectWise e i controlli per gli amministratori
ConnectWise ha dichiarato di aver individuato l’accesso non autorizzato alle identità applicative il 14 ottobre 2026. L’azienda ha sospeso Cloud Backup, revocato i certificati delle connessioni interessate e invalidato le credenziali condivise del servizio. Nell’aggiornamento del 17 ottobre ha riferito che gli archivi di backup conservati erano cifrati e isolati e che non aveva rilevato accessi a quegli archivi.
Microsoft raccomanda di esaminare gli accessi delle identità di servizio, le attività successive in Microsoft Graph e i registri di controllo di Microsoft Entra ID e Microsoft 365. Gli amministratori dovrebbero verificare modifiche alle credenziali delle applicazioni, assegnazioni di ruoli privilegiati, concessioni di consenso e altre modifiche alla directory. Huntress invita inoltre a controllare le integrazioni ConnectWise e SkyKick, comprese quelle inattive, e le credenziali aggiunte ad altre applicazioni.
Huntress raccomanda di disabilitare le connessioni applicative interessate senza eliminarle, conservare i registri del tenant e non riattivare le applicazioni ConnectWise coinvolte finché l’azienda non conferma il ripristino delle credenziali.
